Vuln-3: Hardcoded Django SECRET_KEY 漏洞概述 项目: DjangoBlog 严重程度: HIGH (OWASP: A02:2021 - Cryptographic Failures) CWE: CWE-798: Use of Hard-coded Credentials 根因: 使用了硬编码的 fallback 值,当环境变量 未设置时,该硬编码值将被使用。 受影响文件: (lines 31-32) 影响范围 Session 伪造: 攻击者可伪造 session cookies 冒充任何用户,包括超级管理员。 CSRF 绕过: 攻击者可计算有效的 CSRF tokens。 账户接管: 攻击者可伪造邮件验证签名以激活任意账户。 启用 Vuln-11: 文件上传签名由此密钥派生,导致文件上传漏洞可利用。 修复方案 移除 fallback 值。要求 作为强制环境变量;如果缺失,应在启动时失败。 POC 代码 参考 OWASP Top 10 (2021) CWE-798: Use of Hard-coded Credentials Django Security Best Practices DjangoBlog source: https://github.com/liangliangyy/DjangoBlog