# Django 5.0.9.dev20240806133106 ドキュメント

# セキュリティ上の問題のアーカイブ

Django の開発チームは、Django のセキュリティポリシー にしたがって、セキュリティに関わる問題を、責任を持って積極的に公表しています。

この活動の一部として、修正・公開した問題の履歴リストをメンテナンスしています。以下のリストには、各問題に対して、日付、短い説明、もし存在すれば CVE identifier 、影響を受けるバージョン、完全な情報開示ページへのリンク、適切なパッチへのリンクが記載されています。

これらの情報に関する重要な注意書き

- 影響を受けるバージョンのリストには、情報公開時点での stable、security-supported リリースのバージョンのみが記載されています。つまり、(セキュリティサポートが切れた) 古いバージョンや pre リリース (alpha/beta/RC) 状態のバージョンは、公開時点で影響を受ける場合にも、リストに書かれていない可能性があるということです。
- Django プロジェクトは、不適切な設定や Django 自身以外の問題から発生する可能性のあるセキュリティ問題を指摘するセキュリティ勧告を発行することがあります。このような勧告の中には CVE を取得しているものもあります。そのような場合、 ここにリストアップされますが、パッチやリリースを伴わないため、説明、開示、CVE のみがリストアップされます。

## Issues under Django's security process

All security issues have been handled under versions of Django's security process. These are listed below.

### July 9, 2024 - CVE-2024-39614

Potential denial-of-service in `django.utils.translation.get_supported_language_variant()`. Full description

- Django 5.0 (patch)
- Django 4.2 (patch)

### July 9, 2024 - CVE-2024-39330

Potential directory-traversal in `django.core.files.storage.Storage.save()`. Full description

- Django 5.0 (patch)
- Django 4.2 (patch)

### July 9, 2024 - CVE-2024-39329

Username enumeration through timing difference for users with unusable passwords. Full description

- Django 5.0 (patch)
- Django 4.2 (patch)

### July 9, 2024 - CVE-2024-38875

Potential denial-of-service in `django.utils.html.urlize()`. Full description

- Django 5.0 (patch)
- Django 4.2 (patch)

### 2024年3月4日 - CVE-2024-27351

`django.utils.text.Truncator.words()` における潜在的な正規表現によるサービス拒否の可能性。詳細な説明はこちら

- Django 5.0 (patch)
- Django 4.2 (patch)
- Django 3.2 (patch)

### 2024年2月6日 - CVE-2024-24680

`intcomma` テンプレートフィルタにおける潜在的な DoS。完全な説明

- Django 5.0 (patch)
- Django 4.2 (patch)
- Django 3.2 (patch)

### 2023年11月1日 - CVE-2023-46695

Windows 上の `UsernameField` で潜在的なサービス拒否攻撃 (DoS) の脆弱性。 完全な説明

- Django 4.2 (patch)
- Django 4.1 (patch)
- Django 3.2 (patch)

### 2023年10月4日 - CVE-2023-43665

`django.utils.text.Truncator` におけるサービス拒否 (DoS) の可能性。 詳細説明

- Django 4.2 (patch)
- Django 4.1 (patch)
- Django 3.2 (patch)

### 2023年9月4日 - CVE-2023-41164

`django.utils.encoding.uri_to_iri()` におけるサービス拒否 (DoS) の潜在的脆弱性。 完全な説明

- Django 4.2 (patch)
- Django 4.1 (patch)
- Django 3.2 (patch)

### 2023年7月3日 - CVE-2023-36053

`EmailValidator`/`URLValidator` における潜在的な正規表現によるサービス拒否攻撃 (ReDoS) の脆弱性。 完全な説明

- Django 4.2 (patch)
- Django 4.1 (patch)
- Django 3.2 (patch)

### 2023年5月3日 - CVE-2023-31047

複数のファイルを1つのフォームフィールドを使用してアップロードする際の検証の回避の可能性。 完全な説明

- Django 4.2 (patch)
- Django 4.1 (patch)
- Django 3.2 (patch)

### February 14, 2023 - CVE-2023-24580

Potential denial-of-service vulnerability in file uploads. Full description

- Django 4.1 (patch)
- Django 4.0 (patch)
- Django 3.2 (patch)

### February 1, 2023 - CVE-2023-23969

Potential denial-of-service via `Accept-Language` headers. Full description

- Django 4.1 (patch)
- Django 4.0 (patch)
- Django 3.2 (patch)

### October 4, 2022 - CVE-2022-41323

Potential denial-of-service vulnerability in internationalized URLs. Full description

- Django 4.1 (patch)
- Django 4.0 (patch)
- Django 3.2 (patch)

### August 3, 2022 - CVE-2022-36359

Potential reflected file download vulnerability in FileResponse. Full description

- Django 4.0 (patch)
- Django 3.2 (patch)

### July 4, 2022 - CVE-2022-34265

Potential SQL injection via `Trunc(kind)` and `Extract(lookup_name)` arguments. Full description

- Django 4.0 (patch)
- Django 3.2 (patch)

### April 11, 2022 - CVE-2022-28346

Potential SQL injection in `QuerySet.annotate()`, `aggregate()`, and `extra()`. Full description

- Django 4.0 (patch)
- Django 3.2 (patch)
- Django 2.2 (patch)

### April 11, 2022 - CVE-2022-28347

Potential SQL injection via `QuerySet.explain(**options)` on PostgreSQL. Full description

- Django 4.0 (patch)
- Django 3.2 (patch)
- Django 2.2 (patch)

### February 1, 2022 - CVE-2022-22818

Possible XSS via `{% debug %}` template tag. Full description

#### 影響を受けるバージョン

- Django 4.0 (patch)
- Django 3.2 (patch)
- Django 2.2 (patch)

### February 1, 2022 - CVE-2022-23833

Denial-of-service possibility in file uploads. Full description

#### 影響を受けるバージョン

- Django 4.0 (patch)
- Django 3.2 (patch)
- Django 2.2 (patch)

### January 4, 2022 - CVE-2021-45452

Potential directory-traversal via `Storage.save()`. Full description

#### 影響を受けるバージョン

- Django 4.0 (patch)
- Django 3.2 (patch)
- Django 2.2 (patch)

### January 4, 2022 - CVE-2021-45116

Potential information disclosure in `dictsort` template filter. Full description

#### 影響を受けるバージョン

- Django 4.0 (patch)
- Django 3.2 (patch)
- Django 2.2 (patch)

### January 4, 2022 - CVE-2021-45115

Denial-of-service possibility in `UserAttributeSimilarityValidator`. Full description

#### 影響を受けるバージョン

- Django 4.0 (patch)
- Django 3.2 (patch)
- Django 2.2 (patch)

### December 7, 2021 - CVE-2021-44420

Potential bypass of an upstream access control based on URL paths. Full description

#### 影響を受けるバージョン

- Django 3.2 (patch)
- Django 3.1 (patch)
- Django 2.2 (patch)

### July 1, 2021 - CVE-2021-35042

Potential SQL injection via unsanitized `QuerySet.order_by()` input. Full description

#### 影響を受けるバージョン

- Django 3.2 (patch)
- Django 3.1 (patch)

### June 2, 2021 - CVE-2021-33203

Potential directory traversal via `admindocs`. Full description

#### 影響を受けるバージョン

- Django 3.2 (patch)
- Django 3.1 (patch)
- Django 2.2 (patch)

### June 2, 2021 - CVE-2021-33571

Possible indeterminate SSRF, RFI, and LFI attacks since validators accepted leading zeros in IPv4 addresses. Full description

#### 影響を受けるバージョン

- Django 3.2 (patch)
- Django 3.1 (patch)
- Django 2.2 (patch)

### May 6, 2021 - CVE-2021-32052

Header injection possibility since `URLValidator` accepted newlines in input on Python 3.9.5+. Full description

#### 影響を受けるバージョン

- Django 3.2 (patch)
- Django 3.1 (patch)
- Django 2.2 (patch)

### May 4, 2021 - CVE-2021-31542

Potential directory-traversal via uploaded files. Full description

#### 影響を受けるバージョン

- Django 3.2 (patch)
- Django 3.1 (patch)
- Django 2.2 (patch)

### April 6, 2021 - CVE-2021-28658

Potential directory-traversal via uploaded files. Full description

#### 影響を受けるバージョン

- Django 3.2 (patch)
- Django 3.1 (patch)
- Django 3.0 (patch)
- Django 2.2 (patch)

### February 19, 2021 - CVE-2021-23336

Web cache poisoning via `django.utils.http.limited_parse_qsl()`. Full description

#### 影響を受けるバージョン

- Django 3.2 (patch)
- Django 3.1 (patch)
- Django 3.0 (patch)
- Django 2.2 (patch)

### February 1, 2021 - CVE-2021-3281

Potential directory-traversal via `archive.extract()`. Full description

#### 影響を受けるバージョン

- Django 3.1 (patch)
- Django 3.0 (patch)
- Django 2.2 (patch)

### September 1, 2020 - CVE-2020-24584

Permission escalation in intermediate-level directories of the file system cache on Python 3.7+. Full description

#### 影響を受けるバージョン

- Django 3.1 (patch)
- Django 3.0 (patch)
- Django 2.2 (patch)

### September 1, 2020 - CVE-2020-24583

Incorrect permissions on intermediate-level directories on Python 3.7+. Full description

#### 影響を受けるバージョン

- Django 3.1 (patch)
- Django 3.0 (patch)
- Django 2.2 (patch)

### June 3, 2020 - CVE-2020-13596

Possible XSS via admin `ForeignKeyRawIdWidget`. Full description

#### 影響を受けるバージョン

- Django 3.0 (patch)
- Django 2.2 (patch)

### June 3, 2020 - CVE-2020-13254

Potential data leakage via malformed memcached keys. Full description

#### 影響を受けるバージョン

- Django 3.0 (patch)
- Django 2.2 (patch)

### March 4, 2020 - CVE-2020-9402

Potential SQL injection via `tolerance` parameter in GIS functions and aggregates on Oracle. Full description

#### 影響を受けるバージョン

- Django 3.0 (patch)
- Django 2.2 (patch)
- Django 1.11 (patch)

### 2020年2月3日 - CVE-2020-7471

`StringAgg(delimiter)` を通じた潜在的 SQL インジェクション. ` <https://www.djangoproject.com/weblog/2020/feb/03/security-releases/>`__

#### 影響を受けるバージョン

- Django 3.0 (パッチ)
- Django 2.2 (パッチ)
- Django 1.11 (パッチ)

### December 18, 2019 - CVE-2019-19844

Potential account hijack via password reset form. Full description

#### 影響を受けるバージョン

- Django 3.0 (パッチ)
- Django 2.2 (patch)
- Django 1.11 (patch)

### December 2, 2019 - CVE-2019-19118

Privilege escalation in the Django admin. Full description

#### 影響を受けるバージョン

- Django 3.0 (パッチ)
- Django 2.2 (patch)
- Django 2.1 (patch)

### 2019年8月1日 - CVE-2019-14235

`django.utils.encoding.uri_to_iri()` におけるメモリ枯渇の可能性。詳細な説明

#### 影響を受けるバージョン

- Django 2.2 (パッチ)
- Django 2.1 (パッチ)
- Django 1.11 (パッチ)

### August 1, 2019 - CVE-2019-14234

SQL injection possibility in key and index lookups for `JSONField`/`HStoreField`. Full description

#### 影響を受けるバージョン

- Django 2.2 (パッチ)
- Django 2.1 (パッチ)
- Django 1.11 (パッチ)

### August 1, 2019 - CVE-2019-14233

Denial-of-service possibility in `strip_tags()`. Full description

#### 影響を受けるバージョン

- Django 2.2 (patch)
- Django 2.1 (patch)
- Django 1.11 (patch)

### August 1, 2019 - CVE-2019-14232

Denial-of-service possibility in `django.utils.text.Truncator`. Full description

#### 影響を受けるバージョン

- Django 2.2 (patch)
- Django 2.1 (patch)
- Django 1.11 (patch)

### July 1, 2019 - CVE-2019-12781

Incorrect HTTP detection with reverse-proxy connecting via HTTPS. Full description

#### 影響を受けるバージョン

- Django 2.2 (patch)
- Django 2.1 (patch)
- Django 1.11 (patch)

### June 3, 2019 - CVE-2019-12308

XSS via "Current URL" link generated by `AdminURLFieldWidget`. Full description

#### 影響を受けるバージョン

- Django 2.2 (patch)
- Django 2.1 (patch)
- Django 1.11 (patch)

### June 3, 2019 - CVE-2019-11358

Prototype pollution in bundled jQuery. Full description

#### 影響を受けるバージョン

- Django 2.2 (patch)
- Django 2.1 (patch)

### 2019年2月11日 - CVE-2019-6975

`django.utils.numberformat.format()` におけるメモリ枯渇の問題。詳細な説明

#### 影響を受けるバージョン

- Django 2.1 (パッチ)
- Django 2.0 (パッチ および 修正)
- Django 1.11 (パッチ)

### 2019年1月4日 - CVE-2019-3498

デフォルトの 404 ページにおけるコンテンツスプーフィングの可能性。詳細な説明

#### 影響を受けるバージョン

- Django 2.1 (パッチ)
- Django 2.0 (パッチ)
- Django 1.11 (パッチ)

### 2018年10月1日 - CVE-2018-16984

Password hash disclosure to 「表示のみ (view only)」の admin ユーザーにパスワードのハッシュが意図せず公開されてしまう問題。詳細な説明

#### 影響を受けるバージョン

- Django 2.1 (パッチ)

### 2018年8月1日 - CVE-2018-14574

`CommonMiddleware` におけるオープンリダイレクトの可能性。詳細な説明

#### 影響を受けるバージョン

- Django 2.1 (パッチ)
- Django 2.0 (パッチ)
- Django 1.11 (パッチ)

### 2018年3月6日 - CVE-2018-7537

`truncatechars_html` と `truncatewords_html` テンプレートフィルタにおけるDoS 攻撃の可能性。 詳細な説明

#### 影響を受けるバージョン

- Django 2.0 (パッチ)
- Django 1.11 (パッチ)
- Django 1.8 (パッチ)

### 2018年3月6日 - CVE-2018-7536

`urlize` と `urlizetrunc` テンプレートフィルタにおける DoS 攻撃の可能性。詳細な説明

#### 影響を受けるバージョン

- Django 2.0 (パッチ)
- Django 1.11 (パッチ)
- Django 1.8 (パッチ)

### 2018年2月1日 - CVE-2018-6188

`AuthenticationForm` における情報漏えい問題。詳細な説明

#### 影響を受けるバージョン

- Django 2.0 (パッチ)
- Django 1.11 (パッチ)

### 2017年9月5日 - CVE-2017-12794

Possible XSS in traceback section of technical 500 debug page. Full description

#### 影響を受けるバージョン

- Django 1.11 (パッチ)
- Django 1.10 (パッチ)

### April 4, 2017 - CVE-2017-7234

Open redirect vulnerability in `django.views.static.serve()`. Full description

#### 影響を受けるバージョン

- Django 1.10 (パッチ)
- Django 1.9 (パッチ)
- Django 1.8 (パッチ)

### April 4, 2017 - CVE-2017-7233

Open redirect and possible XSS attack via user-supplied numeric redirect URLs. Full description

#### 影響を受けるバージョン

- Django 1.10 (patch)
- Django 1.9 (patch)
- Django 1.8 (patch)

### November 1, 2016 - CVE-2016-9014

DNS rebinding vulnerability when `DEBUG=True`. Full description

#### 影響を受けるバージョン

- Django 1.10 (patch)
- Django 1.9 (patch)
- Django 1.8 (patch)

### November 1, 2016 - CVE-2016-9013

User with hardcoded password created when running tests on Oracle. Full description

#### 影響を受けるバージョン

- Django 1.10 (patch)
- Django 1.9 (patch)
- Django 1.8 (patch)

### September 26, 2016 - CVE-2016-7401

CSRF protection bypass on a site with Google Analytics. Full description

#### 影響を受けるバージョン

- Django 1.9 (patch)
- Django 1.8 (patch)

### July 18, 2016 - CVE-2016-6186

XSS in admin's add/change related popup. Full description

#### 影響を受けるバージョン

- Django 1.9 (patch)
- Django 1.8 (patch)

### March 1, 2016 - CVE-2016-2513

User enumeration through timing difference on password hasher work factor upgrade. Full description

#### 影響を受けるバージョン

- Django 1.9 (patch)
- Django 1.8 (patch)

### March 1, 2016 - CVE-2016-2512

Malicious redirect and possible XSS attack via user-supplied redirect URLs containing basic auth. Full description

#### 影響を受けるバージョン

- Django 1.9 (patch)
- Django 1.8 (patch)

### February 1, 2016 - CVE-2016-2048

User with "change" but not "add" permission can create objects for `ModelAdmin`’s with `save_as=True`. Full description

#### 影響を受けるバージョン

- Django 1.9 (patch)

### November 24, 2015 - CVE-2015-8213

Settings leak possibility in `date` template filter. Full description

#### 影響を受けるバージョン

- Django 1.8 (patch)
- Django 1.7 (patch)

### August 18, 2015 - CVE-2015-5963 / CVE-2015-5964

Denial-of-service possibility in `logout()` view by filling session store. Full description

#### 影響を受けるバージョン

- Django 1.8 (patch)
- Django 1.7 (patch)
- Django 1.4 (patch)

### July 8, 2015 - CVE-2015-5145

Denial-of-service possibility in URL validation. Full description

#### 影響を受けるバージョン

- Django 1.8 (patch)

### July 8, 2015 - CVE-2015-5144

Header injection possibility since validators accept newlines in input. Full description

#### 影響を受けるバージョン

- Django 1.8 (patch)
- Django 1.7 (patch)
- Django 1.4 (patch)

### July 8, 2015 - CVE-2015-5143

Denial-of-service possibility by filling session store. Full description

#### 影響を受けるバージョン

- Django 1.8 (patch)
- Django 1.7 (patch)
- Django 1.4 (patch)

### May 20, 2015 - CVE-2015-3982

Fixed session flushing in the cached_db backend. Full description

#### 影響を受けるバージョン

- Django 1.8 (patch)

### March 18, 2015 - CVE-2015-2317

Mitigated possible XSS attack via user-supplied redirect URLs. Full description

#### 影響を受けるバージョン

- Django 1.4 (patch)
- Django 1.6 (patch)
- Django 1.7 (patch)
- Django 1.8 (patch)

### March 18, 2015 - CVE-2015-2316

Denial-of-service possibility with `strip_tags()`. Full description

#### 影響を受けるバージョン

- Django 1.6 (patch)
- Django 1.7 (patch)
- Django 1.8 (patch)

### March 9, 2015 - CVE-2015-2241

XSS attack via properties in `ModelAdmin.readonly_fields`. Full description

#### 影響を受けるバージョン

- Django 1.7 (patch)
- Django 1.8 (patch)

### January 13, 2015 - CVE-2015-0222

Database denial-of-service with `ModelMultipleChoiceField`. Full description

#### 影響を受けるバージョン

- Django 1.6 (patch)
- Django 1.7 (patch)

### January 13, 2015 - CVE-2015-0221

Denial-of-service attack against `django.views.static.serve()`. Full description

#### 影響を受けるバージョン

- Django 1.4 (patch)
- Django 1.6 (patch)
- Django 1.7 (patch)

### January 13, 2015 - CVE-2015-0220

Mitigated possible XSS attack via user-supplied redirect URLs. Full description

#### 影響を受けるバージョン

- Django 1.4 (patch)
- Django 1.6 (patch)
- Django 1.7 (patch)

### January 13, 2015 - CVE-2015-0219

WSGI header spoofing via underscore/dash conflation. Full description

#### 影響を受けるバージョン

- Django 1.4 (patch)
- Django 1.6 (patch)
- Django 1.7 (patch)

### August 20, 2014 - CVE-2014-0483

Data leakage via querystring manipulation in admin. Full description

#### 影響を受けるバージョン

- Django 1.4 (patch)
- Django 1.5 (patch)
- Django 1.6 (patch)
- Django 1.7 (patch)

### August 20, 2014 - CVE-2014-0482

`RemoteUserMiddleware` session hijacking. Full description

#### 影響を受けるバージョン

- Django 1.4 (patch)
- Django 1.5 (patch)
- Django 1.6 (patch)
- Django 1.7 (patch)

### August 20, 2014 - CVE-2014-0481

File upload denial of service. Full description

#### 影響を受けるバージョン

- Django 1.4 (patch)
- Django 1.5 (patch)
- Django 1.6 (patch)
- Django 1.7 (patch)

### August 20, 2014 - CVE-2014-0480

`reverse()` can generate URLs pointing to other hosts. Full description

#### 影響を受けるバージョン

- Django 1.4 (patch)
- Django 1.5 (patch)
- Django 1.6 (patch)
- Django 1.7 (patch)

### May 18, 2014 - CVE-2014-3730

Malformed URLs from user input incorrectly validated. Full description

#### 影響を受けるバージョン

- Django 1.4 (patch)
- Django 1.5 (patch)
- Django 1.6 (patch)
- Django 1.7 (patch)

### May 18, 2014 - CVE-2014-1418

Caches may be allowed to store and serve private data. Full description

#### 影響を受けるバージョン

- Django 1.4 (patch)
- Django 1.5 (patch)
- Django 1.6 (patch)
- Django 1.7 (patch)

### April 21, 2014 - CVE-2014-0474

MySQL typecasting causes unexpected query results. Full description

#### 影響を受けるバージョン

- Django 1.4 (patch)
- Django 1.5 (patch)
- Django 1.6 (patch)
- Django 1.7 (patch)

### April 21, 2014 - CVE-2014-0473

Caching of anonymous pages could reveal CSRF token. Full description

#### 影響を受けるバージョン

- Django 1.4 (patch)
- Django 1.5 (patch)
- Django 1.6 (patch)
- Django 1.7 (patch)

### April 21, 2014 - CVE-2014-0472

Unexpected code execution using `reverse()`. Full description

#### 影響を受けるバージョン

- Django 1.4 (patch)
- Django 1.5 (patch)
- Django 1.6 (patch)
- Django 1.7 (patch)

### September 14, 2013 - CVE-2013-1443

Denial-of-service via large passwords. Full description

#### 影響を受けるバージョン

- Django 1.4 (patch and Python compatibility fix)
- Django 1.5 (patch)

### September 10, 2013 - CVE-2013-4315

Directory-traversal via `ssi` template tag. Full description

#### 影響を受けるバージョン

- Django 1.4 (patch)
- Django 1.5 (patch)

### August 13, 2013 - CVE-2013-6044

Possible XSS via unvalidated URL redirect schemes. Full description

#### 影響を受けるバージョン

- Django 1.4 (patch)
- Django 1.5 (patch)

### August 13, 2013 - CVE-2013-4249

XSS via admin trusting `URLField` values. Full description

#### 影響を受けるバージョン

- Django 1.5 (patch)

### February 19, 2013 - CVE-2013-0306

Denial-of-service via formset `max_num` bypass. Full description

#### 影響を受けるバージョン

- Django 1.3 (patch)
- Django 1.4 (patch)

### February 19, 2013 - CVE-2013-0305

Information leakage via admin history log. Full description

#### 影響を受けるバージョン

- Django 1.3 (patch)
- Django 1.4 (patch)

### February 19, 2013 - CVE-2013-1664 / CVE-2013-1665

Entity-based attacks against Python XML libraries. Full description

#### 影響を受けるバージョン

- Django 1.3 (patch)
- Django 1.4 (patch)

### February 19, 2013 - No CVE

Additional hardening of `Host` header handling. Full description

#### 影響を受けるバージョン

- Django 1.3 (patch)
- Django 1.4 (patch)

### December 10, 2012 - No CVE 2

Additional hardening of redirect validation. Full description

#### 影響を受けるバージョン

- Django 1.3: (patch)
- Django 1.4: (patch)

### December 10, 2012 - No CVE 1

Additional hardening of `Host` header handling. Full description

#### 影響を受けるバージョン

- Django 1.3 (patch)
- Django 1.4 (patch)

### October 17, 2012 - CVE-2012-4520

`Host` header poisoning. Full description

#### 影響を受けるバージョン

- Django 1.3 (patch)
- Django 1.4 (patch)

### July 30, 2012 - CVE-2012-3444

Denial-of-service via large image files. Full description

#### 影響を受けるバージョン

- Django 1.3 (patch)
- Django 1.4 (patch)

### July 30, 2012 - CVE-2012-3443

Denial-of-service via compressed image files. Full description

#### 影響を受けるバージョン

- Django 1.3: (patch)
- Django 1.4: (patch)

### July 30, 2012 - CVE-2012-3442

XSS via failure to validate redirect scheme. Full description

#### 影響を受けるバージョン

- Django 1.3: (patch)
- Django 1.4: (patch)

### September 9, 2011 - CVE-2011-4140

Potential CSRF via `Host` header. Full description

#### 影響を受けるバージョン

This notification was an advisory only, so no patches were issued.

- Django 1.2
- Django 1.3

### September 9, 2011 - CVE-2011-4139

`Host` header cache poisoning. Full description

#### 影響を受けるバージョン

- Django 1.2 (patch)
- Django 1.3 (patch)

### September 9, 2011 - CVE-2011-4138

Information leakage/arbitrary request issuance via `URLField.verify_exists`. Full description

#### 影響を受けるバージョン

- Django 1.2: (patch)
- Django 1.3: (patch)

### September 9, 2011 - CVE-2011-4137

Denial-of-service via `URLField.verify_exists`. Full description

#### 影響を受けるバージョン

- Django 1.2 (patch)
- Django 1.3 (patch)

### September 9, 2011 - CVE-2011-4136

Session manipulation when using memory-cache-backed session. Full description

#### 影響を受けるバージョン

- Django 1.2 (patch)
- Django 1.3 (patch)

### February 8, 2011 - CVE-2011-0698

Directory-traversal on Windows via incorrect path-separator handling. Full description

#### 影響を受けるバージョン

- Django 1.1 (patch)
- Django 1.2 (patch)

### February 8, 2011 - CVE-2011-0697

XSS via unsanitized names of uploaded files. Full description

#### 影響を受けるバージョン

- Django 1.1 (patch)
- Django 1.2 (patch)

### February 8, 2011 - CVE-2011-0696

CSRF via forged HTTP headers. Full description

#### 影響を受けるバージョン

- Django 1.1 (patch)
- Django 1.2 (patch)

### December 22, 2010 - CVE-2010-4535

Denial-of-service in password-reset mechanism. Full description

#### 影響を受けるバージョン

- Django 1.1 (patch)
- Django 1.2 (patch)

### December 22, 2010 - CVE-2010-4534

Information leakage in administrative interface. Full description

#### 影響を受けるバージョン

- Django 1.1 (patch)
- Django 1.2 (patch)

### September 8, 2010 - CVE-2010-3082

XSS via trusting unsafe cookie value. Full description

#### 影響を受けるバージョン

- Django 1.2 (patch)

### October 9, 2009 - CVE-2009-3965

Denial-of-service via pathological regular expression performance. Full description

#### 影響を受けるバージョン

- Django 1.0 (patch)
- Django 1.1 (patch)

### July 28, 2009 - CVE-2009-2659

Directory-traversal in development server media handler. Full description

#### 影響を受けるバージョン

- Django 0.96 (patch)
- Django 1.0 (patch)

### September 2, 2008 - CVE-2008-3909

CSRF via preservation of POST data during admin login. Full description

#### 影響を受けるバージョン

- Django 0.91 (patch)
- Django 0.95 (patch)
- Django 0.96 (patch)

### May 14, 2008 - CVE-2008-2302

XSS via admin login redirect. Full description

#### 影響を受けるバージョン

- Django 0.91 (patch)
- Django 0.95 (patch)
- Django 0.96 (patch)

### October 26, 2007 - CVE-2007-5712

Denial-of-service via arbitrarily-large `Accept-Language` header. Full description

#### 影響を受けるバージョン

- Django 0.91 (patch)
- Django 0.95 (patch)
- Django 0.96 (patch)

## Django のセキュリティプロセスで解決される前の問題

いくつかのセキュリティ問題については、Django が正式にセキュリティ問題の処理プロセスを確立する以前に修正されました。そのような修正に対しては、新しいリリースが出されたときに修正された CVE が記載されていないことがあります。

### January 21, 2007 - CVE-2007-0405

Apparent "caching" of authenticated user. Full description

#### 影響を受けるバージョン

- Django 0.95 (patch)

### 2006年8月16日 - CVE-2007-0404

翻訳フレームワークにおけるファイル名の検証問題。 詳細な説明

#### 影響を受けるバージョン

- Django 0.90 (patch)
- Django 0.91 (patch)
- Django 0.95 (patch) (released January 21 2007)