漏洞描述

Django 是Python编写的开源Web应用框架，generate_filename 方法是 django.core.files.storage.Storage 类中用于生成文件名的方法。

受影响版本中，如果开发者重写 django.core.files.storage.Storage 的 generate_filename 方法时未对文件名进行校验则会导致路径遍历漏洞。

攻击者可利用该漏洞构造恶意的文件名(如：../)，当目标系统调用 save() 方法保存文件时可读取或修改系统上的敏感文件。

影响范围

django@[4.2, 4.2.14)

django@[5.0, 5.0.7)

python-django@(-∞, 4.2.14-1)

修复方案

将组件 django 升级至 5.0.7 及以上版本

将组件 python-django 升级至 4.2.14-1 及以上版本

将组件 django 升级至 4.2.14 及以上版本

参考链接

https://www.oscs1024.com/hd/MPS-h7y8-9a6p

https://nvd.nist.gov/vuln/detail/CVE-2024-39330

https://github.com/advisories/GHSA-9jmf-237g-qf46

https://github.com/django/django/commit/2b00edc0151a660d1eb86da4059904a0fc4e095e

免费情报订阅&代码安全检测

OSCS是国内首个开源软件供应链安全社区，社区联合开发者帮助全球顶级开源项目解决安全问题，并提供实时的安全漏洞情报，同时提供专业的代码安全检测工具为开发者免费使用。社区开发者可以通过配置飞书、钉钉、企业微信机器人获取一手的情报。

免费代码安全检测工具： https://www.murphysec.com/?src=osc

免费情报订阅： https://www.oscs1024.com/cm/?src=osc

具体订阅方式详见： https://www.oscs1024.com/docs/vuln-warning/intro/?src=osc