CVE-2019-19844

总结

Django 1.11.27 之前的版本、2.x 2.2.9 之前的版本以及 3.x 3.0.1 之前的版本允许账户接管。经过精心构造的电子邮件地址（在对 Unicode 字符进行大小写转换后与现有用户的电子邮件地址相同）将允许攻击者收到针对匹配用户账户的密码重置令牌。（新版本中的一项缓解措施是仅将密码重置令牌发送到注册用户的电子邮件地址。）

• CVE_2019_19844PoC

  CVE-2019-19844 Docker版

• django_cve201919844PoC

  CVE-2019-19844 的 PoC ( https://www.djangoproject.com/weblog/2019/dec/18/security-releases/ )

• django_cve_2019_19844_pocPoC

  CVE-2019-19844 的 PoC(https://www.djangoproject.com/weblog/2019/dec/18/security-releases/)

• Django < 3.0 < 2.2 < 1.11 - Account Hijack