CVE-2023-33185
ŚrednieCVSS 4.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
Django-SES to backend pocztowy dla Django, który implementuje obsługę AWS Simple Email Service. W bibliotece django_ses wystąpił błąd w weryfikacji podpisów żądań z AWS, co pozwalało na określenie dowolnych publicznych certyfikatów.
Ocena ryzyka
Błąd ten może prowadzić do nieautoryzowanego dostępu do funkcji związanych z obsługą e-maili, co stwarza ryzyko dla bezpieczeństwa aplikacji i danych użytkowników.
Rekomendacja
Zaleca się aktualizację biblioteki django_ses do wersji 3.5.0 lub nowszej, aby usunąć tę podatność.
Oryginalny opis (angielski, źródło NVD)
Django-SES is a drop-in mail backend for Django. The django_ses library implements a mail backend for Django using AWS Simple Email Service. The library exports the `SESEventWebhookView class` intended to receive signed requests from AWS to handle email bounces, subscriptions, etc. These requests are signed by AWS and are verified by django_ses, however the verification of this signature was found to be flawed as it allowed users to specify arbitrary public certificates. This issue was patched in version 3.5.0.