... ること、およびサイト上に クロスサイトスクリプティングの脆弱性 が存在しないことを前提としています（なぜなら、XSSの脆弱性は既に攻撃者がCSRFの脆弱性を利用して行えること、そしてそれ以上のことを可能にするからです）。 リファラヘッダーの削除 サードパーティのサイ ... のペア(クッキーと POST データ)を投稿するのは脆弱性ではないですか? ¶ いいえ、これは設計によるものです。中間者攻撃がなければ、攻撃者が CSRF トークン・クッキーを被害者のブラウザに送信する方法はありません。したがって、攻撃を成功させるには、XSS などによって被 ... 害者のブラウザのクッキーを取得する必要がありますが、その場合、攻撃者は通常 CSRF 攻撃を必要としません。 セキュリティ監査ツールの中には、これを問題視するものもありますが、前述のように、攻撃者はユ ... ... ること、およびサイト上に クロスサイトスクリプティングの脆弱性 が存在しないことを前提としています（なぜなら、XSSの脆弱性は既に攻撃者がCSRFの脆弱性を利用して行えること、そしてそれ以上のことを可能にするからです）。 リファラヘッダーの削除 サードパーティのサイ ... のペア(クッキーと POST データ)を投稿するのは脆弱性ではないですか? ¶ いいえ、これは設計によるものです。中間者攻撃がなければ、攻撃者が CSRF トークン・クッキーを被害者のブラウザに送信する方法はありません。したがって、攻撃を成功させるには、XSS などによって被 ... 害者のブラウザのクッキーを取得する必要がありますが、その場合、攻撃者は通常 CSRF 攻撃を必要としません。 セキュリティ監査ツールの中には、これを問題視するものもありますが、前述のように、攻撃者はユ ... ... て、 csrf_exempt デコレータでビューをマークする際には十分注意してください。 SQL injectionへの防御 ¶ SQL injectionは、悪意ある攻撃者がデータベース任意のSQLコードを実行する攻撃です。これによって、レコードが削除されたり、情報が漏洩する可能性があります。 Djan ... ザーが、クライアント・サーバー間で通信される認証情報やその他あらゆる情報を盗み見たり、場合によっては、 積極的な ネットワーク攻撃者がどちらの方向でもデータ書き換えが可能になってしまいます。 HTTPS による保護をサーバー上で有効にするためには、多少の追加作業が ... ... て、 csrf_exempt デコレータでビューをマークする際には十分注意してください。 SQL injectionへの防御 ¶ SQL injectionは、悪意ある攻撃者がデータベース任意のSQLコードを実行する攻撃です。これによって、レコードが削除されたり、情報が漏洩する可能性があります。 Djan ... ザーが、クライアント・サーバー間で通信される認証情報やその他あらゆる情報を盗み見たり、場合によっては、 積極的な ネットワーク攻撃者がどちらの方向でもデータ書き換えが可能になってしまいます。 HTTPS による保護をサーバー上で有効にするためには、多少の追加作業が ... ... を無効化できますが、クッキーを使ったセッションの場合には、ユーザがログアウトしてもセッションは無効化されません。したがって、攻撃者がユーザのクッキーを盗めば、たとえユーザがログアウトしていたとしても、そのクッキーを使ってユーザになりすますことができてしま ... う。あなたは 署名したクッキーセッションバックエンド を使用していて、 SECRET_KEY (または SECRET_KEY_FALLBACKS の任意のキー) が攻撃者に知られてしまっていたとします (もちろん、これは Django にキーが流出する脆弱性が内在しているというわけではありません)。この時 ... 、攻撃者は、セッションに任意の文字列を挿入することができてしまい、このセッションを unpickle すると、サーバ上で任意のコードが実行され ... ... を無効化できますが、クッキーを使ったセッションの場合には、ユーザがログアウトしてもセッションは無効化されません。したがって、攻撃者がユーザのクッキーを盗めば、たとえユーザがログアウトしていたとしても、そのクッキーを使ってユーザになりすますことができてしま ... う。あなたは 署名したクッキーセッションバックエンド を使用していて、 SECRET_KEY (または SECRET_KEY_FALLBACKS の任意のキー) が攻撃者に知られてしまっていたとします (もちろん、これは Django にキーが流出する脆弱性が内在しているというわけではありません)。この時 ... 、攻撃者は、セッションに任意の文字列を挿入することができてしまい、このセッションを unpickle すると、サーバ上で任意のコードが実行され ... ... によるユーザーのメールアドレス列挙の可能性 ¶ メール送信の失敗が適切に処理されておらず、 PasswordResetForm クラスは、リモート攻撃者がパスワードリセットリクエストを送信し、その結果を観察することでユーザーのメールアドレスを列挙できる状態になっていました。 こ ... ... りました。これによりログインジェクションや偽造が可能となり、特に外部システムで処理されるログや端末で表示されるログにおいて、攻撃者がログの見た目や構造を操作できてしまうおそれがありました。 これは Django のセキュリティモデルに直接影響を与えるものではありま ... リリースノート 問題 リクエスト 潜在的 レスポンス ロギング request path 制御 改行 シーケンス 可能性 偽造 外部システム 端末 攻撃者 見た目 構造 操作 クイック検索 Last update: 2026年10月09日 « previous | up | next » ... ... によるユーザーのメールアドレス列挙の可能性 ¶ メール送信の失敗が適切に処理されておらず、 PasswordResetForm クラスは、リモート攻撃者がパスワードリセットリクエストを送信し、その結果を観察することでユーザーのメールアドレスを列挙できる状態になっていました。 こ ... ... りました。これによりログインジェクションや偽造が可能となり、特に外部システムで処理されるログや端末で表示されるログにおいて、攻撃者がログの見た目や構造を操作できてしまうおそれがありました。 これは Django のセキュリティモデルに直接影響を与えるものではありま ... リリースノート 問題 リクエスト 潜在的 レスポンス ロギング request path 制御 改行 シーケンス 可能性 偽造 外部システム 端末 攻撃者 見た目 構造 操作 クイック検索 Last update: 2026年10月09日 « previous | up | next » ... 2026年10月08日