p PatchFirst

CVE-2020-11037

CVE-2020-11037 · Potential Observable Timing Discrepancy in Wagtail

Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.

In Wagtail before versions 2.7.3 and 2.8.2, a potential timing attack exists on pages or documents that have been protected with a shared password through Wagtail's "Privacy" controls. This password check is performed through a character-by-character string comparison, and so an attacker who is able to measure the time taken by this check to a high degree of accuracy could potentially use timing differences to gain knowledge of the password. This is [understood to be feasible on a local network, but not on the public internet](https://groups.google.com/d/msg/django-developers/iAaq0pvHXuA/fpUuwjK3i2wJ). Privacy settings that restrict access to pages/documents on a per-user or per-group basis (as opposed to a shared password) are unaffected by this vulnerability. This has been patched in 2.7.3, 2.8.2, 2.9.

CVSS 6.1 · Moyenne · EPSS 0,2% · Correctif disponible

Publication
Mise à jour

Pile logicielle: python

Produits et versions concernés

  • wagtail

    Versions du logiciel
    • < 2.7.3: Concernée
    • >= 2.8rc1, < 2.8.2: Concernée
    • = 2.9rc1: Concernée

    Aucun correctif publié

  • wagtail PyPI

    Versions du logiciel
    • 0.1
    • 0.2
    • 0.3
    • 0.3.1
    • 0.4
    • 0.4.1
    • 0.5
    • 0.6
    • 0.7
    • 0.8
    • 0.8.1
    • 0.8.10
    • 0.8.2
    • 0.8.3
    • 0.8.4
    • 0.8.5
    • 0.8.6
    • 0.8.7
    • 0.8.8
    • 0.8.9
    • 1.0
    • 1.0b1
    • 1.0b2
    • 1.0rc1
    • 1.0rc2
    • 1.1
    • 1.10
    • 1.10.1
    • 1.10rc1
    • 1.11
    • 1.11.1
    • 1.11rc1
    • 1.12
    • 1.12.1
    • 1.12.2
    • 1.12.3
    • 1.12.4
    • 1.12.5
    • 1.12.6
    • 1.12rc1
    • 1.13
    • 1.13.1
    • 1.13.2
    • 1.13.3
    • 1.13.4
    • 1.13rc1
    • 1.1rc1
    • 1.2
    • 1.2rc1
    • 1.3
    • 1.3.1
    • 1.3rc1
    • 1.4
    • 1.4.1
    • 1.4.2
    • 1.4.3
    • 1.4.4
    • 1.4.5
    • 1.4.6
    • 1.4rc1
    • 1.5
    • 1.5.1
    • 1.5.2
    • 1.5.3
    • 1.5rc1
    • 1.6
    • 1.6.1
    • 1.6.2
    • 1.6.3
    • 1.6rc1
    • 1.7
    • 1.7rc1
    • 1.8
    • 1.8.1
    • 1.8.2
    • 1.8rc1
    • 1.9
    • 1.9.1
    • 1.9rc1
    • 2.0
    • 2.0.1
    • 2.0.2
    • 2.0b1
    • 2.0rc1
    • 2.1
    • 2.1.1
    • 2.1.2
    • 2.1.3
    • 2.1rc1
    • 2.1rc2
    • 2.2
    • 2.2.1
    • 2.2.2
    • 2.2rc1
    • 2.2rc2
    • 2.3
    • 2.3rc1
    • 2.3rc2
    • 2.4
    • 2.4rc1
    • 2.5
    • 2.5.1
    • 2.5.2
    • 2.5rc1
    • 2.6
    • 2.6.1
    • 2.6.2
    • 2.6.3
    • 2.6rc1
    • 2.7
    • 2.7.1
    • 2.7.2
    • 2.7rc1
    • 2.7rc2
    Plages de versions concernées
    • ECOSYSTEM: < 2.7.3

    Mettez à jour vers 2.7.3

  • wagtail PyPI

    Versions du logiciel
    • 2.8
    • 2.8.1
    • 2.8rc1
    Plages de versions concernées
    • ECOSYSTEM: ≥ 2.8rc1, < 2.8.2

    Mettez à jour vers 2.8.2

  • wagtail PyPI

    Versions du logiciel
    • 2.9rc1
    Plages de versions concernées
    • ECOSYSTEM: ≥ 2.9rc1, < 2.9

    Mettez à jour vers 2.9

  • wagtail PyPI

    Versions du logiciel
    • 2.7
    • 2.7.1
    • 2.7.2
    • 2.8
    • 2.8.1
    Plages de versions concernées
    • ECOSYSTEM: ≥ 2.7, < 2.7.3 ∪ ≥ 2.8, < 2.8.2

    Mettez à jour vers 2.7.3; Mettez à jour vers 2.8.2

Sources originales

Vérifiez votre serveur →