CVE-2019-19844: Django 1.11.27 より前、2.x の 2.2.9 より前、および 3.x の 3.0.1 より前のバージョンでは、アカウント乗っ取りが可能です。適切に細工されたメールアドレス（Unicode... | Kitploit

CVE-2019-19844

重大公開済み

Django 1.11.27 より前、2.x の 2.2.9 より前、および 3.x の 3.0.1 より前のバージョンでは、アカウント乗っ取りが可能です。適切に細工されたメールアドレス（Unicode...

公開済み: 2019/12/18
更新済み: 2024/08/05
CNA の割り当て: mitre
観察された証拠: 2019/12/24

プライマリ CVSS

9.8/ 10重大

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

EPSS 確率推定

53.6%

高 · 今後 30 日間

パーセンタイル: 99.0%
モデルの日付: 2026/09/21

EPSS は統計的な推定値であり、確実性や影響の尺度ではありません。 CVSS、KEV ステータス、暴露、環境と組み合わせます。

概要

Django 1.11.27 より前、2.x の 2.2.9 より前、および 3.x の 3.0.1 より前のバージョンでは、アカウント乗っ取りが可能です。適切に細工されたメールアドレス（Unicode 文字の大文字小文字変換後に既存ユーザーのメールアドレスと等しくなるもの）を使用すると、攻撃者は一致したユーザーアカウントのパスワードリセットトークンを送信させることができます。（新しいリリースにおける緩和策の一つは、パスワードリセットトークンを登録済みのユーザーメールアドレスにのみ送信することです。）

ソース

CVE_2019_19844PoC
CVE-2019-19844 Docker エディション
django_cve201919844PoC
CVE-2019-19844 の PoC ( https://www.djangoproject.com/weblog/2019/dec/18/security-releases/ )
django_cve_2019_19844_pocPoC
CVE-2019-19844のPoC(https://www.djangoproject.com/weblog/2019/dec/18/security-releases/)
Django < 3.0 < 2.2 < 1.11 - Account Hijack

責任ある使用

脆弱性情報は、自分が所有しているシステム、またはテストを許可されているシステムでのみ使用してください。 Kitploit は公開研究メタデータにリンクしており、エクスプロイトコードや悪意のあるペイロードは保存しません。