Django 项目报告：

对 Django 1.8 中 cached_db 会话后端内的 session.flush() 的更改错误地将会话密钥设置为空白字符串，而非“没有密钥”。空白字符串被视为有效会话密钥，会话 Cookie 会相应进行设置。任何会话 Cookie 中有空白字符串的用户都将使用相同的会话存储。当用户切换帐户时，django.contrib.auth.logout() 会调用 session.flush()，更严重的是 django.contrib.auth.login() 也会进行调用。如果用户之前已登录，并且再次以不同帐户登录（不先行注销），则会话会刷新以避免重用。在会话刷新后（并且其会话密钥变为“”），会在会话上设置帐户详情并保存会话。任何在会话 Cookie 中具有空白字符串的用户现在都将登录到该帐户。

感谢 Sam Cooke 报告此问题。

检测

FreeBSD：django -- 修复了 cached_db 后端中的会话刷新 (48504af7-07ad-11e5-879c-00e0814cab4e)

medium Nessus 插件 ID 83909

未找到变更日志