Fix for password reset poisoning in django-csp via ALLOWED_HOSTS default change

根据用户的要求，我需要从提供的网页截图中提取关于漏洞的关键信息，并用简洁的中文markdown格式进行总结。 1. 漏洞概述 (Summary): 标题: Remove wildcard ALLOWED_HOSTS default to prevent password reset poisoning #345 描述: 这是一个密码重置投毒（password reset poisoning）漏洞。 原因: 默认配置中 设置为 （通配符），允许未经验证的攻击者向任意域名发送密码重置邮件。 后果: 攻击者可以捕获这些邮件，从而窃取受害者的密码重置链接。 2. 影响范围 (Root cause): 组件: 库。 具体代码: 的 方法。 机制: 该中间件构建 设置，如果未设置，则默认为 。 触发场景: 当 Django 的 未显式设置 时， 会将其设置为 。 受影响版本: 虽然截图没有明确列出所有受影响版本，但提到了 的 行为。 3. 修复方案 (Fix): 核心修改: 将 的默认值从 改为 。 具体文件变更: : 修改默认值。 : 修改 方法中的默认值。 : 移除 占位符。 : 移除 占位符。 : 更新说明。 升级说明 (Upgrade note): 现有部署如果不使用 ，在升级后需要手动设置该值。 4. POC/利用代码: 截图中没有提供具体的 POC 代码块，只描述了漏洞原理和修复代码片段（在 "Change" 列中）。 在 "Root cause" 部分有一段代码片段展示了漏洞的触发逻辑： 但这看起来更像是描述性的伪代码或日志，而不是完整的利用脚本。 在 "Fix" 部分的表格中，展示了修复前后的代码对比，这可以被视为“修复代码”，虽然不是“利用代码”。 : -> : -> 5. 整理输出: 将上述信息整合成简洁的中文markdown。 确保包含漏洞概述、影响范围、修复方案。 提取相关的代码片段（主要是修复部分的对比）。 Drafting the response: 标题: 漏洞总结：django-csp 密码重置投毒漏洞 (#345) 概述: 由于 的 默认将 设置为通配符 ，导致未经验证的攻击者可以向任意域名发送密码重置邮件，从而实施密码重置投毒攻击。 影响范围: 库（特别是其 组件）。当未显式配置 时受影响。 修复方案: 将 的默认值从 修改为 。 代码片段: 提取 "Fix" 表格中的变更内容。 Let's refine the "Code" section. The user asked for POC or exploit code if present. There isn't a full exploit script, but there is code showing the vulnerability logic in "Root cause" and the fix in "Fix". I will extract the relevant code blocks shown in the "Fix" table as they represent the core change. Final Polish: 漏洞概述: 移除 的通配符默认值，防止密码重置投毒。 影响范围: 库。 修复方案: 修改默认配置。 代码: 提取表格中的代码变更。 Looks good. Proceeding to generate output. 漏洞总结：django-csp 密码重置投毒漏洞 (#345) 漏洞概述 漏洞类型: 密码重置投毒 (Password Reset Poisoning) 描述: 库存在一个密码重置投毒漏洞。由于默认配置中 被设置为通配符 ，允许未经验证的攻击者向任意域名发送密码重置邮件。 后果: 攻击者可以捕获这些邮件，从而窃取受害者的密码重置链接。 影响范围 受影响组件: 库中的 。 触发条件: 当 Django 项目未显式设置 时， 的 会将其默认设置为 。 修复方案 核心修复: 将 的默认值从 修改为 。 升级注意: 现有部署如果不使用 ，在升级后需要手动设置该值。 相关代码变更 (Fix) 漏洞原理代码片段 (Root Cause)**

目標達成すべての支援者に感謝 — 100%達成しました！

Fix for password reset poisoning in django-csp via ALLOWED_HOSTS default change

このソースからの他の記事

目標達成 すべての支援者に感謝 — 100%達成しました！

Fix for password reset poisoning in django-csp via ALLOWED_HOSTS default change

このソースからの他の記事

目標達成すべての支援者に感謝 — 100%達成しました！