NVD / CVE Program· CNA debian

CVE-2014-0482: The contrib.auth.middleware.RemoteUserMiddleware middleware in Django before 1.4.14, 1.5.x before 1.5.9, 1.6.x before 1.6.6, and 1.7 before…

СредняяCVSS 6.0 · v2.0—Эксплойта нет Есть исправление

Оценка Noroxi

Приоритет: Наблюдать (оценка срочности 25/100)

В отслеживаемых источниках (CISA KEV, Exploit-DB, Metasploit, Nuclei, GitHub) нет публичного эксплойта или записей об эксплуатации.
Вероятность эксплуатации в ближайшие 30 дней: 1,9% (FIRST EPSS); выше, чем у 80,6% записей.
Исправленная версия: python-django (Debian:12) 1.6.6-1; python-django (Debian:6.0) 1.2.3-3+squeeze11; python-django (Debian:7) 1.4.5-1+deb7u8.

Пока низкий приоритет. Обновитесь до python-django (Debian:12) 1.6.6-1; python-django (Debian:6.0) 1.2.3-3+squeeze11; python-django (Debian:7) 1.4.5-1+deb7u8 или новее.

Формируется автоматически по данным записи: CVSS (NVD и CNA), CISA KEV и SSVC, FIRST EPSS, источники эксплойтов, исправленные версии. Как мы считаем

Первоисточники: NVD · CVE.org · FIRST EPSS

The contrib.auth.middleware.RemoteUserMiddleware middleware in Django before 1.4.14, 1.5.x before 1.5.9, 1.6.x before 1.6.6, and 1.7 before release candidate 3, when using the contrib.auth.backends.RemoteUserBackend backend, allows remote authenticated users to hijack web sessions via vectors related to the REMOTE_USER header.

Обход аутентификации

Опубликовано: 26 авг. 2014 г.
Обновлено: 16 июн. 2026 г.
EPSS: 1,9 % · 80-й процентиль
CWE: CWE-287

Инструменты для отчёта

JSON

Оценка срочности

Наблюдать

Пока низкий приоритет.

CVSS: 24 / 40 · 6.0 / 10
CISA KEV: 0 / 30 · Нет в списке
EPSS: 1 / 30 · 1,9 %

Узнайте, когда запись изменится

Нет в KEV: эксплуатация в реальных атаках не зафиксирована
Публичного эксплойта нет
Исправление выпущено

Если что-то из этого изменится, сообщим в ежедневной сводке.

Затронута ли ваша версия? Проверьте

Анализ Noroxi

Что это значит для вашей инфраструктуры?

Оценка выше формируется автоматически по данным записи и не знает вашей среды. Наша команда проверит на ваших системах, действительно ли уязвимость эксплуатируема и какой меры достаточно.

Мы используем этот продукт, нужна помощь

Затронутые системы

Затронута ли ваша версия?

Выберите продукт и введите свою версию. Она сравнивается с диапазонами этой записи прямо в браузере и никуда не отправляется.

Вендор	Продукт	CPE
opensuse	opensuse	cpe:2.3:o:opensuse:opensuse
djangoproject	django	cpe:2.3:a:djangoproject:django

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

djangoproject djangoдо 1.4.13 включительно
djangoproject django1.4
djangoproject django1.4.1
djangoproject django1.4.10
djangoproject django1.4.11
djangoproject django1.4.12
djangoproject django1.4.2
djangoproject django1.4.4

ещё строк: 12

djangoproject django1.4.5
djangoproject django1.4.6
djangoproject django1.4.7
djangoproject django1.4.8
djangoproject django1.4.9
djangoproject django1.5
djangoproject django1.5.1
djangoproject django1.5.2
djangoproject django1.5.3
djangoproject django1.5.4
djangoproject django1.5.5
djangoproject django1.5.6

Затронутые пакеты

Данные OSV и GitHub Advisory: экосистема, пакет и диапазон. Сопоставление SBOM использует эту таблицу.

Экосистема	Пакет	Затронутый диапазон	Исправление
Debian:12	python-django	до 1.6.6-1	1.6.6-1
Debian:6.0	python-django	до 1.2.3-3+squeeze11	1.2.3-3+squeeze11
Debian:7	python-django	до 1.4.5-1+deb7u8	1.4.5-1+deb7u8
PyPI	django	с 1.5 · до 1.5.9	1.5.9
PyPI	django	с 1.6 · до 1.6.6	1.6.6
PyPI	django	с 1.7a1 · до 1.7c3	1.7c3
PyPI	django	до 1.4.14	1.4.14

Тот же продукт

opensuse: все записи

Другие записи с наивысшей оценкой для того же основного продукта.

CVE-2013-4115Buffer overflow in the idnsALookup function in dns_internal.cc in Squid 3.2 through 3.2.11 and 3.3 through 3.3.6 allows remote attackers to…
43В плане
CVE-2015-7805Heap-based buffer overflow in libsndfile 1.0.25 allows remote attackers to have unspecified impact via the headindex value in the header in…
41В плане
CVE-2015-5957Buffer overflow in the DumpSysVar function in var.c in Remind before 3.1.15 allows attackers to have unspecified impact via a long name.
41В плане

Опубликованы до и после этой записи в том же продукте

← РаньшеCVE-2014-048026 авг. 2014 г. · The core.urlresolvers.reverse function in Django before 1.4.14, 1.5.x before 1.5.9, 1.6.x before 1.6.6, and 1.7 before release candidate 3…
24Наблюдать
← РаньшеCVE-2014-048126 авг. 2014 г. · The default configuration for the file upload handling system in Django before 1.4.14, 1.5.x before 1.5.9, 1.6.x before 1.6.6, and 1.7…
18Наблюдать
Позже →CVE-2014-048326 авг. 2014 г. · The administrative interface (contrib.admin) in Django before 1.4.14, 1.5.x before 1.5.9, 1.6.x before 1.6.6, and 1.7 before release…
15Наблюдать

Исправление

На какую версию обновиться

Версии с исправлением по данным вендора, реестров пакетов и Microsoft. Перед обновлением сверьтесь с бюллетенем вендора.

Продукт / пакет	Исправленная версия	Источник
debian:python-django	1.6.6-1 · Debian:12	Реестр пакетов (OSV)
PyPI:django	1.4.14	Реестр пакетов (OSV)
PyPI:django	1.5.9	Реестр пакетов (OSV)
PyPI:django	1.6.6	Реестр пакетов (OSV)
PyPI:django	1.7c3	Реестр пакетов (OSV)

Статус эксплойта

Публичный эксплойт неизвестен

Публичный эксплойт пока не обнаружен. Это не значит, что вы в безопасности, лишь что порог чуть выше.

Контекст для исследователя

Для пентестеров и исследователей: профиль атаки, расхождение оценок, хронология, коммиты исправлений, авторы, кандидаты в варианты и цепочки, охват bug bounty. Всё выводится из имеющихся данных; без кода эксплойтов.

Хронология

От публикации до сегодня: proof of concept, модуль Metasploit, CISA KEV и запись об исправлении. Даты — как сообщают источники.

Кроме публикации датированных событий нет.

В записи нет: истории EPSS · ссылки на коммит или PR с исправлением · указания авторов находки · кандидатов в варианты и цепочки · публичной программы вознаграждений.

Технические детали

Условия атаки

В случае успеха

Конфиденциальность: P · данные могут быть прочитаны
Целостность: P · данные или конфигурация могут быть изменены
Доступность: P · работа сервиса может быть нарушена

Сложность атаки: M
Влияние на конфиденциальность: P
Влияние на целостность: P
Влияние на доступность: P

Класс уязвимости (CWE)

CWE-287 · Improper Authentication

Вектор CVSS

AV:N/AC:M/Au:S/C:P/I:P/A:P

nvd-primary

Первопричина

Аутентификация добавляется к каждому маршруту по отдельности, а не обеспечивается централизованно. Если маршрут, добавленный позже, обходит общий промежуточный обработчик, проверка сессии для него не выполняется вовсе.

Ошибка в коде

Весь класс CWE-287

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

Уязвимый код

1app.use("/admin", requireSession, adminRouter);
2

3// Добавленный позже маршрут обходит обработчик
4app.post("/admin-api/config", updateConfig);

Исправленный код

1const admin = express.Router();
2admin.use(requireSession, requireRole("admin"));
3

4admin.post("/config", updateConfig);
5app.use("/admin", admin);

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.

Шаблоны атак (CAPEC)

Техники ATT&CK

Журнал изменений (1)

Исправление✗ → ✓28 сент. 2026 г., 22:44 UTC

Для отслеживаемых записей эти изменения приходят и как уведомления. →

Источники

lists.opensuse.org/opensuse-updates/2014-09/msg00023.html

Показать все источники (ещё 5)

Рекомендации вендоров и официальные записи. Ссылки на эксплойты/PoC намеренно исключены.

Все записи

Анализ Noroxi

Что это значит для вашей инфраструктуры?

Мы используем этот продукт, нужна помощь

Источники данных и проверка

CNA: debian

CVE.org (CNA)6 авг. 2024 г., 09:20 UTC
NVD16 июн. 2026 г., 20:03 UTC
FIRST EPSS14 нояб. 2026 г., 00:00 UTC
OSV / GHSA15 нояб. 2026 г., 03:15 UTC

Каждая строка — когда источник в последний раз обрабатывался для этой записи.