django_cve_2019_19844_poc

إثبات المفهوم لـ CVE-2019-19844

المتطلبات

• Python 3.7.x
• PostgreSQL 9.5 أو أعلى

الإعداد

1. إنشاء قاعدة بيانات (مثال: django_cve_2019_19844_poc)
2. تعيين اسم قاعدة البيانات إلى متغير البيئة DJANGO_DATABASE_NAME (مثال: export DJANGO_DATABASE_NAME=django_cve_2019_19844_poc)
3. تشغيل pip install -r requirements.txt && ./manage.py migrate --noinput
4. إنشاء المستخدم التالي باستخدام الأمر shell:

>>> from django.contrib.auth import get_user_model
>>> User = get_user_model()
>>> User.objects.create_user('mike123', '[email protected]', 'test123')

إجراءات إعادة الإنتاج

1. تشغيل ./manage.py runserver
2. فتح http://127.0.0.1:8000/accounts/password-reset/
3. إدخال mı[email protected] (البريد الإلكتروني للمهاجم)، ثم النقر على زر الإرسال
4. استلام البريد الإلكتروني (تحقق من وحدة التحكم)، وإعادة تعيين كلمة المرور
5. تسجيل الدخول كمستخدم mike123