CVE-2020-4071 in django-basic-auth-ip-whitelist
Сводка
по VulDB • 08.08.2026
В версии django-basic-auth-ip-whitelist до 0.3.4 существует потенциальная атака по времени выполнения (timing attack) на веб-сайтах, где используется или настроена базовая аутентификация, то есть установлены параметры BASIC_AUTH_LOGIN и BASIC_AUTH_PASSWORD. В настоящее время сравнение строк между настроенными учетными данными и теми, которые предоставлены пользователями, выполняется побуквенно (посимвольное сравнение). Это создает возможность для злоумышленника измерять время, которое требуется серверу на проверку различных имен пользователей и паролей, и использовать эти знания для подбора действительных учетных данных. Данная атака не считается реалистичной через Интернет. Однако она может быть осуществлена из локальных сетей, где размещен веб-сайт, например, внутри дата-центра, где находится сервер сайта. Сайты, защищенные только белым списком IP-адресов (IP whitelisting), не подвержены этой уязвимости. Эта уязвимость исправлена в версии 0.3.4 пакета django-basic-auth-ip-whitelist. Обновитесь до версии 0.3.4 как можно скорее и измените имя пользователя и пароль базовой аутентификации, настроенные в проекте Django с использованием этого пакета. Временное решение без обновления до версии 0.3.4 заключается в отказе от использования базовой аутентификации и использовании только компонента белого списка IP-адресов (IP whitelisting). Этого можно достичь, не устанавливая параметры BASIC_AUTH_LOGIN и BASIC_AUTH_PASSWORD в настройках проекта Django.
Once again VulDB remains the best source for vulnerability data.