Опубликованы (https://www.djangoproject.com/weblog/2015/nov/24/security-re.../) корректирующие выпуски web-фреймворка Django 1.9rc2, 1.8.7 и 1.7.11 (https://www.djangoproject.com/), в которых устранена уязвимость (CVE-2015-8213), позволяющая узнать содержимое любой переменной конфигурации. Например, атакующий может узнать содержимое настроек, включающих такие конфиденциальные данные, как ключи шифрования и пароли доступа к СУБД. Уязвимость также проявляется в Django 1.6 и более ранних выпусках, поддержка которых уже прекращена. Пользователям Django рекомендуется как можно скорее установить обновление или перейти на использование актуальной ветки фреймворка.
Проблема вызвана ошибкой в реализации фильтра "date", допускающего применение некорректного формата даты, вместо которой можно передать имя параметра конфигурации и получить его значение (функция django.utils.formats.get_format() обрабатывала не только настройки форматирования даты, но и осуществляла подстановку других параметров конфигурации). Уязвимость проявляется в приложениях, использующих фильтр "date" над данными, поступающими извне (например "last_updated|date:user_date_format").
URL: https://www.djangoproject.com/weblog/2015/nov/24/security-re.../
Новость: http://www.opennet.me/opennews/art.shtml?num=43391
прям как Django неуязвимый :)
Как фреймворк - так уязвимост(и)ь!
В тесовых заборах и штакетнике, в отличие от крепостных стен, брешей не бывает.
Но это не означает, что они безопаснее.
Напишите свой фреймворк, без уязвимостей и дыр.
"Если написать фреймворк, которым сможет пользоваться и дурак, то только дураки будут им пользоваться" (слегка перефразированная классика, кажется Вирт, исходно по поводу операционных систем).
это самомнение
Он "сперва сделай!" - сделал. Имеет право рассуждать.
Ты - нет.
Я бы не сказал, что этим фреймворком могут пользоваться одни дураки. У него достаточно серьёзный порог вхождения. На PHP научиться писать гораздо проще.
> Я бы не сказал, что этим фреймворком могут пользоваться одни дураки. У
> него достаточно серьёзный порог вхождения. На PHP научиться писать гораздо проще.Шутишь? Потому как если серьёзно ... то я даже не знаю ...
Я не поклонник джанги, но пля что может быть для новичка проще?
>> Я бы не сказал, что этим фреймворком могут пользоваться одни дураки. У
>> него достаточно серьёзный порог вхождения. На PHP научиться писать гораздо проще.
> Шутишь? Потому как если серьёзно ... то я даже не знаю ...
> Я не поклонник джанги, но пля что может быть для новичка проще?Bottle, например. Или вы Django без ORM, шаблонизатора и объектов форм используете?
Пользоваться холодильником может и дурак - значит холодильниками пользуются только дураки. Ну бред же, видно невооружённым взглядом. Если Вирт действительно так сказал, то ему стоит повторить курс логики.
> Пользоваться холодильником может и дурак - значит холодильниками пользуются только дураки.
> Ну бред же, видно невооружённым взглядом. Если Вирт действительно так сказал,
> то ему стоит повторить курс логики.meequz учит мэтра формальной логике ... :-)
Галантерейщик и Кардинал - это сила! Мы спасём францию! (С)Пыхтит, мля, старается и не видит что дедушка тихонечко ржет :)
Исходно это принцип Шоу.
шоу маст гоу он?