安全警报
| 严重性： | 高 |
| 项目类别： | CSRF |
| 受影响的项目： | edx平台 |
| 记者： | 自我报告 |
| 永久网址： |
在审查 edX 平台代码期间，发现了一些具有副作用的 HTTP GET 请求。 此类请求通常是不可取的，并且不强制执行跨站点请求伪造 (CSRF) 保护。 在一种特定情况下，用户可能会通过对员工或超级用户的攻击来提升他们的权限。
更多信息
此补丁修复了恶意用户可以引诱讲师查看页面，进而授予恶意用户额外权限的问题。
尽管该平台已经在使用 Django 的跨站点请求伪造 (CSRF) 中间件保护，但发现一些具有副作用的端点正在使用 GET 方法。 该补丁强制这些端点需要 POST，这也正确启用了 CSRF 保护。
有关更多信息，请参见：
– https://docs.djangoproject.com/en/1.9/ref/csrf/
我们强烈建议您尽快修补您的实例。
密切跟踪高手的补丁：
https://github.com/edx/edx-platform/commit/d54f79f5bf3e1af17063937df1abc…
命名释放山茱萸的补丁:
https://github.com/edx/edx-platform/commit/d929c1cd8ca11d801a03232f200c9…
