Incorrect signature verification in django-ses
The django_ses library implements a mail backend for Django using AWS Simple Email Service. The library exports the SESEventWebhookView class intended to receive signed requests from AWS to handle email bounces, subscriptions, etc. These requests are signed by AWS and are verified by django_ses, however the verification of this signature was found to be flawed as it allowed users to specify arbitrary public certificates.
Czego dotyczy
Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.
| Platforma | Paczka | Podatne wersje | Poprawka w wersji |
|---|---|---|---|
| Python (PyPI) | django-ses | < 3.5.0 | 3.5.0 |
Odnośniki
- https://github.com/django-ses/django-ses/blob/3d627067935876487f9938310d5e1fbb249a7778/CVE/001-cert-url-signature-verification.md
- https://github.com/django-ses/django-ses/commit/b71b5f413293a13997b6e6314086cb9c22629795
- https://github.com/django-ses/django-ses/security/advisories/GHSA-qg36-9jxh-fj25
- https://nvd.nist.gov/vuln/detail/CVE-2023-33185
- https://github.com/django-ses/django-ses
- https://github.com/pypa/advisory-database/tree/main/vulns/django-ses/PYSEC-2023-82.yaml
- Wektor CVSS
CVSS:3.1/AV:N/AC:H/PR:L/UI:R/S:U/C:L/I:L/A:L- Słabość (CWE)
CWE-347- Platforma
- Python (PyPI)
- Paczka
django-ses- Ujawniono
- 22.05.2023
- Aktualizacja
- 11.10.2026 15:17
Źródła i licencje
OSV / GitHub Advisory Database - PYSEC-2023-82 - PyPA Advisory Database; CC BY 4.0
OSV / GitHub Advisory Database - GHSA-qg36-9jxh-fj25 - CC BY 4.0
Historia podatności: django-ses
Wszystkie opisane podatności tej paczki (Python (PyPI)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.
To jedyna znana podatność tej paczki.
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.