NVD / CVE Program· CNA mitre

CVE-2020-13254: An issue was discovered in Django 2.2 before 2.2.13 and 3.0 before 3.0.7.

Оценка Noroxi

Приоритет: Наблюдать (оценка срочности 25/100)

Есть публичный код proof-of-concept (GitHub); записей об эксплуатации в реальных атаках нет.
Вероятность эксплуатации в ближайшие 30 дней: 6% (FIRST EPSS); выше, чем у 93,4% записей.
Может быть вызвана любым, у кого есть доступ через интернет. Учётная запись или пароль не требуются. Действия пользователя не требуются. Требуются особые условия, например определённое время или конфигурация.
Исправленная версия: py3-django (Alpine:v3.13) 3.0.7-r0; python-django (Debian:10) 1:1.11.29-1~deb10u1; python-django (Debian:12) 2:2.2.13-1.
Упоминается в национальных бюллетенях кибербезопасности Турции (siberguvenlik.gov.tr): 1.

Пока низкий приоритет. Обновитесь до py3-django (Alpine:v3.13) 3.0.7-r0; python-django (Debian:10) 1:1.11.29-1~deb10u1; python-django (Debian:12) 2:2.2.13-1 или новее.

Формируется автоматически по данным записи: CVSS (NVD и CNA), CISA KEV и SSVC, FIRST EPSS, источники эксплойтов, исправленные версии. Как мы считаем

Первоисточники: NVD · CVE.org · FIRST EPSS

An issue was discovered in Django 2.2 before 2.2.13 and 3.0 before 3.0.7. In cases where a memcached backend does not perform key validation, passing malformed cache keys could result in a key collision, and potential data leakage.

СредняяCVSS 5.9 · v3.1—Proof of concept Есть исправление

Опубликовано: 3 июн. 2020 г.
Обновлено: 16 июн. 2026 г.
EPSS: 6,0 % · 93-й процентиль
CWE: CWE-295

Инструменты для отчёта

JSON

Оценка срочности

Наблюдать

Пока низкий приоритет.

CVSS: 23 / 40 · 5.9 / 10
CISA KEV: 0 / 30 · Нет в списке
EPSS: 2 / 30 · 6,0 %

Узнайте, когда запись изменится

Нет в KEV: эксплуатация в реальных атаках не зафиксирована
Есть PoC, боевого модуля нет
Исправление выпущено

Если что-то из этого изменится, сообщим в ежедневной сводке.

У вас WordPress? Проверьте сайт бесплатно в WP Lens

Затронута ли ваша версия? Проверьте

Анализ Noroxi

Что это значит для вашей инфраструктуры?

Оценка выше формируется автоматически по данным записи и не знает вашей среды. Наша команда проверит на ваших системах, действительно ли уязвимость эксплуатируема и какой меры достаточно.

Мы используем этот продукт, нужна помощь

Затронутые системы

Затронута ли ваша версия?

Выберите продукт и введите свою версию. Она сравнивается с диапазонами этой записи прямо в браузере и никуда не отправляется.

Вендор	Продукт	CPE
djangoproject	django	cpe:2.3:a:djangoproject:django
canonical	ubuntu linux	cpe:2.3:o:canonical:ubuntu_linux
fedoraproject	fedora	cpe:2.3:o:fedoraproject:fedora
netapp	sra plugin	cpe:2.3:a:netapp:sra_plugin
netapp	steelstore cloud integrated storage	cpe:2.3:a:netapp:steelstore_cloud_integrated_storage
debian	debian linux	cpe:2.3:o:debian:debian_linux
oracle	zfs storage appliance kit	cpe:2.3:a:oracle:zfs_storage_appliance_kit

Проверьте шифрование сайта

Уязвимость связана с проверкой сертификатов или слабой криптографией. Бесплатная проверка SSL оценивает сертификат, включённые версии TLS и слабые шифры.

Проверить SSL

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

canonical ubuntu linux14.04
canonical ubuntu linux16.04
canonical ubuntu linux18.04
canonical ubuntu linux19.10
canonical ubuntu linux20.04
debian debian linux10.0
debian debian linux8.0
debian debian linux9.0
djangoproject django2.2 и новее · до 2.2.13
djangoproject django3.0 и новее · до 3.0.7
fedoraproject fedora32
netapp sra pluginвсе версии
netapp steelstore cloud integrated storageвсе версии
oracle zfs storage appliance kit8.8

Затронутые пакеты

Данные OSV и GitHub Advisory: экосистема, пакет и диапазон. Сопоставление SBOM использует эту таблицу.

Экосистема	Пакет	Затронутый диапазон	Исправление
Alpine:v3.13	py3-django	до 3.0.7-r0	3.0.7-r0
Debian:10	python-django	до 1:1.11.29-1~deb10u1	1:1.11.29-1~deb10u1
Debian:12	python-django	до 2:2.2.13-1	2:2.2.13-1
Debian:8	python-django	до 1.7.11-1+deb8u9	1.7.11-1+deb8u9
Debian:9	python-django	до 1:1.10.7-2+deb9u9	1:1.10.7-2+deb9u9
openSUSE:Tumbleweed	python-Django	до 3.2.7-2.3	3.2.7-2.3
openSUSE:Tumbleweed	python-Django	до 5.2.16-1.1	5.2.16-1.1
openSUSE:Tumbleweed	python-Django	до 4.2.11-2.1	4.2.11-2.1
openSUSE:Tumbleweed	python-Django4	до 4.2.30-4.1	4.2.30-4.1
openSUSE:Tumbleweed	python-Django4	до 4.2.14-1.1	4.2.14-1.1
openSUSE:Tumbleweed	python-Django5	до 5.2.16-1.1	5.2.16-1.1
openSUSE:Tumbleweed	python-Django6	до 6.0-1.1	6.0-1.1
PyPI	django	с 2.2 · до 2.2.13	2.2.13
PyPI	django	с 3.0 · до 3.0.7	3.0.7
Red Hat:openstack:13::el7	python-django	до 0:1.11.27-3.el7ost	0:1.11.27-3.el7ost
Red Hat:openstack:13::el7	python-django-bash-completion	до 0:1.11.27-3.el7ost	0:1.11.27-3.el7ost
Red Hat:openstack:13::el7	python2-django	до 0:1.11.27-3.el7ost	0:1.11.27-3.el7ost
Red Hat:openstack:16.1::el8	python-django20	до 0:2.0.13-12.el8ost	0:2.0.13-12.el8ost
Red Hat:openstack:16.1::el8	python-django20-bash-completion	до 0:2.0.13-12.el8ost	0:2.0.13-12.el8ost
Red Hat:openstack:16.1::el8	python3-django20	до 0:2.0.13-12.el8ost	0:2.0.13-12.el8ost
SUSE:HPE Helion OpenStack 8	ansible	до 2.4.6.0-3.9.1	2.4.6.0-3.9.1
SUSE:HPE Helion OpenStack 8	ansible1	до 1.9.6-7.3.1	1.9.6-7.3.1
SUSE:HPE Helion OpenStack 8	ardana-ansible	до 8.0+git.1589740980.6c3bcdc-3.73.1	8.0+git.1589740980.6c3bcdc-3.73.1
SUSE:HPE Helion OpenStack 8	ardana-cluster	до 8.0+git.1585685203.3e71e49-3.36.1	8.0+git.1585685203.3e71e49-3.36.1

+96

Тот же продукт

djangoproject: все записи

Другие записи с наивысшей оценкой для того же основного продукта.

CVE-2022-34265An issue was discovered in Django 3.2 before 3.2.14 and 4.0 before 4.0.6.
61На этой неделе
CVE-2020-7471Django 1.11 before 1.11.28, 2.2 before 2.2.10, and 3.0 before 3.0.3 allows SQL Injection if untrusted data is used as a StringAgg delimiter
59В плане
CVE-2019-19844Django before 1.11.27, 2.x before 2.2.9, and 3.x before 3.0.1 allows account takeover.
55В плане

Опубликованы до и после этой записи в том же продукте

← РаньшеCVE-2019-191182 дек. 2019 г. · Django 2.1 before 2.1.15 and 2.2 before 2.2.8 allows unintended model editing.
27Наблюдать
← РаньшеCVE-2020-94025 мар. 2020 г. · Django 1.11 before 1.11.29, 2.2 before 2.2.11, and 3.0 before 3.0.4 allows SQL Injection if untrusted data is used as a tolerance parameter
42В плане
Позже →CVE-2020-135963 июн. 2020 г. · An issue was discovered in Django 2.2 before 2.2.13 and 3.0 before 3.0.7.
25Наблюдать

Исправление

На какую версию обновиться

Версии с исправлением по данным вендора, реестров пакетов и Microsoft. Перед обновлением сверьтесь с бюллетенем вендора.

Продукт / пакет	Исправленная версия	Источник
alpine:py3-django	3.0.7-r0 · Alpine:v3.13	Реестр пакетов (OSV)
debian:python-django	2:2.2.13-1 · Debian:12	Реестр пакетов (OSV)
opensuse:python-Django	3.2.7-2.3 · openSUSE:Tumbleweed	Реестр пакетов (OSV)
opensuse:python-Django4	4.2.14-1.1 · openSUSE:Tumbleweed	Реестр пакетов (OSV)
opensuse:python-Django5	5.2.16-1.1 · openSUSE:Tumbleweed	Реестр пакетов (OSV)
opensuse:python-Django6	6.0-1.1 · openSUSE:Tumbleweed	Реестр пакетов (OSV)
PyPI:django	2.2.13	Реестр пакетов (OSV)
PyPI:django	3.0.7	Реестр пакетов (OSV)
red hat:python-django	0:1.11.27-3.el7ost · Red Hat:openstack:13::el7	Реестр пакетов (OSV)
red hat:python-django-bash-completion	0:1.11.27-3.el7ost · Red Hat:openstack:13::el7	Реестр пакетов (OSV)
red hat:python-django20	0:2.0.13-12.el8ost · Red Hat:openstack:16.1::el8	Реестр пакетов (OSV)
red hat:python-django20-bash-completion	0:2.0.13-12.el8ost · Red Hat:openstack:16.1::el8	Реестр пакетов (OSV)
red hat:python2-django	0:1.11.27-3.el7ost · Red Hat:openstack:13::el7	Реестр пакетов (OSV)
red hat:python3-django20	0:2.0.13-12.el8ost · Red Hat:openstack:16.1::el8	Реестр пакетов (OSV)
suse:ansible1	1.9.6-9.7.2 · SUSE:OpenStack Cloud 9	Реестр пакетов (OSV)
suse:ardana-ansible	9.0+git.1591138508.e269bdb-3.22.2 · SUSE:OpenStack Cloud 9	Реестр пакетов (OSV)
suse:ardana-cobbler	9.0+git.1588181228.bae3b1f-3.13.2 · SUSE:OpenStack Cloud 9	Реестр пакетов (OSV)
suse:ardana-glance	9.0+git.1593631708.9354a78-3.13.2 · SUSE:OpenStack Cloud 9	Реестр пакетов (OSV)
suse:ardana-input-model	9.0+git.1589740948.c24fc0b-3.19.2 · SUSE:OpenStack Cloud 9	Реестр пакетов (OSV)
suse:ardana-logging	9.0+git.1591193994.d93b668-3.13.2 · SUSE:OpenStack Cloud 9	Реестр пакетов (OSV)
suse:ardana-manila	9.0+git.1594158642.b5905e4-3.12.2 · SUSE:OpenStack Cloud 9	Реестр пакетов (OSV)
suse:ardana-monasca	9.0+git.1589385256.7fbfaaf-3.19.2 · SUSE:OpenStack Cloud 9	Реестр пакетов (OSV)
suse:ardana-mq	9.0+git.1593618110.cbd1a37-3.16.2 · SUSE:OpenStack Cloud 9	Реестр пакетов (OSV)
suse:ardana-neutron	9.0+git.1590756257.e09d54f-3.22.2 · SUSE:OpenStack Cloud 9	Реестр пакетов (OSV)
suse:ardana-octavia	9.0+git.1590079609.a2ae6ab-3.19.2 · SUSE:OpenStack Cloud 9	Реестр пакетов (OSV)
suse:ardana-tempest	9.0+git.1593033709.9495bb2-3.16.2 · SUSE:OpenStack Cloud 9	Реестр пакетов (OSV)

Статус эксплойта

Есть proof of concept

Существует публичный PoC или сигнатура обнаружения. Знание об эксплойте доступно; не откладывайте установку исправлений.

Доказательство

Репозиторий PoC на GitHub ×1

Noroxi не размещает код эксплойтов и не даёт на них ссылок. Показываются имена модулей Metasploit и идентификаторы шаблонов Nuclei (имена, не код); записи Exploit-DB и репозитории PoC даются только числом.

Публичные свидетельства эксплойта
Источник	Тип	Дата
Репозиторий PoC на GitHub	stars:2	2020-06-07

Контекст для исследователя

Для пентестеров и исследователей: профиль атаки, расхождение оценок, хронология, коммиты исправлений, авторы, кандидаты в варианты и цепочки, охват bug bounty. Всё выводится из имеющихся данных; без кода эксплойтов.

Хронология

От публикации до сегодня: proof of concept, модуль Metasploit, CISA KEV и запись об исправлении. Даты — как сообщают источники.

Публикация3 июн. 2020 г.
Первый PoC7 июн. 2020 г.+4 дн.
Сегодня10 нояб. 2026 г.+2351 дн.

Истории пока нет (накапливается ежедневным заданием EPSS).

Ссылки на патчи и коммиты

Коммиты, PR и diff среди источников. Отправная точка для patch-diff и поиска вариантов; это исправления, не эксплойты.

Среди источников нет ссылок на коммит или PR.

Авторы

Все исследователи

Нашедшие, сообщившие и аналитики, названные в записи CNA. Нажмите имя, чтобы увидеть другие записи исследователя.

В записи CNA нет авторов.

Кандидаты в варианты

Тот же продукт, тот же класс уязвимости, в пределах 18 месяцев. Если патч не закрыл первопричину, родственная ошибка здесь.

Ночной расчёт связей ничего не нашёл.

Кандидаты в цепочки

Обход аутентификации и уязвимость, требующая привилегий, в одном продукте и близко по времени: вместе они могут дать путь без аутентификации.

—

Охват bug bounty

Известной публичной программы нет.

Источник: bounty-targets-data (публичные списки HackerOne, Bugcrowd, Intigriti, YesWeHack).

Национальное уведомление (Управление кибербезопасности Турции / USOM)

Официальные уведомления, ссылающиеся на эту запись; рекомендации — на странице ведомства.

TR-20-436 · 15 июн. 2020 г.(Django Güvenlik Güncellemesi Yayınladı)

Все национальные уведомления →

Технические детали

Условия атаки

Может быть вызвана любым, у кого есть доступ через интернет.
Учётная запись или пароль не требуются.
Действия пользователя не требуются.
Требуются особые условия, например определённое время или конфигурация.

В случае успеха

Конфиденциальность: высокое · данные могут быть прочитаны
Целостность: нет
Доступность: нет

Вектор атаки: Сеть
Сложность атаки: Высокая
Требуемые привилегии: Не требуются
Взаимодействие с пользователем: Не требуется
Область действия: Не изменяется
Влияние на конфиденциальность: Высокое
Влияние на целостность: Нет
Влияние на доступность: Нет

Класс уязвимости (CWE)

CWE-295 · Improper Certificate Validation

Вектор CVSS

CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N

nvd-primary

Первопричина

Ошибка проверки сертификата незаметно подавляется вместо разрыва соединения. Часто это код, добавленный для тестовой среды и попавший в продуктивную.

Ошибка в коде

Весь класс CWE-295

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

Уязвимый код

kotlin

1override fun checkServerTrusted(chain: Array<X509Certificate>, type: String) {
2  // Оставлено пустым для тестовой среды
3}

Исправленный код

kotlin

1val client = OkHttpClient.Builder()
2  .certificatePinner(
3    CertificatePinner.Builder()
4      .add("api.sirius.example", "sha256/…")
5      .build()
6  ).build()

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.

Шаблоны атак (CAPEC)

Техники ATT&CK

—

Журнал изменений

Исправление✗ → ✓28 сент. 2026 г., 22:45 UTC

Для отслеживаемых записей эти изменения приходят и как уведомления. →

Источники

docs.djangoproject.com/en/3.0/releases/security/

Показать все источники (ещё 9)

Рекомендации вендоров и официальные записи. Ссылки на эксплойты/PoC намеренно исключены.

Все записи

Анализ Noroxi

Что это значит для вашей инфраструктуры?

Мы используем этот продукт, нужна помощь

Источники данных и проверка

CNA: mitre

CVE.org (CNA)4 авг. 2024 г., 12:11 UTC
NVD16 июн. 2026 г., 22:52 UTC
FIRST EPSS9 нояб. 2026 г., 00:00 UTC
OSV / GHSA10 нояб. 2026 г., 03:18 UTC
PoC-in-GitHub10 нояб. 2026 г., 03:18 UTC

Каждая строка — когда источник в последний раз обрабатывался для этой записи.