Django Bad Practices: Attributes in Deny List

O aplicativo utiliza uma lista de bloqueios para controlar quais atributos são expostos por um formulário. Os desenvolvedores podem esquecer de atualizar a lista de bloqueios ao adicionar novos atributos e podem expor campos confidenciais aos invasores acidentalmente.

O aplicativo usa uma lista de bloqueios exclude. Isso é difícil de manter e está sujeito a erros. Caso os desenvolvedores adicionem novos campos ao formulário ou um Model que faça backup do formulário e esqueçam de atualizar o filtro exclude, eles poderão expor campos confidenciais aos atacantes. Os atacantes serão capazes de enviar e vincular dados maliciosos a qualquer campo não excluído.

Exemplo 1: O formulário a seguir expõe alguns atributos de User, porém verifica uma lista de bloqueios para o id do usuário:

from myapp.models import User
...
class UserForm(ModelForm):
  class Meta:
    model = User
    exclude = ['id']
...

Se o modelo User foi atualizado com um novo atributo role e o UserForm associado não foi atualizado, o atributo role será exposto no formulário.