django CVE-2017-12794 xss

漏洞描述

Django是Django软件基金会的一套基于Python语言的开源Web应用框架。该框架包括面向对象的映射器、视图系统、模板系统等。Django1.10.8之前的版本和1.11.5之前的1.11.x版本中的Technical500Template存在安全漏洞，该漏洞源于程序没有正确的过滤用户提交的输入。远程攻击者可利用该漏洞在浏览器中执行任意脚本代码。

影响版本：1.11.5之前的版本。

漏洞环境

kali+docker

(root💀guiltyfet)-[/home/guiltyfet/vulhub/django/CVE-2017-12794]
└─# docker-compose up -d

漏洞复现

1. 用户注册页面，未检查用户名
2. 注册一个用户名为<script>alert(1)</script>的用户
3. 再次注册一个用户名为<script>alert(1)</script>的用户
4. 触发duplicate key异常࿰