遠端 Ubuntu 20.04 LTS 主機上安裝的一個套件受到 USN-5204-1 公告中所提及的多個弱點影響。

  - 在早於 2.2.26 版的 Django 2.2、早於 3.2.11 版的 Django 3.2 以及早於 4.0.1 版的 Django 4.0 中發現一個問題。
    UserAttributeSimilarityValidator 在評估與比較值相關的人為提交的大密碼時，產生了大量負荷。在不限制存取使用者註冊資訊的情況下，這可能會為發動拒絕服務攻擊提供向量。(CVE-2021-45115)

  - 在早於 2.2.26 版的 Django 2.2、早於 3.2.11 版的 Django 3.2 以及早於 4.0.1 版的 Django 4.0 中發現一個問題。由於利用 Django 範本語言的變數解析邏輯，因此如果傳遞適當建構的金鑰，dictsort 範本篩選器可能容易受到資訊洩漏或非預定方法呼叫的影響。(CVE-2021-45116)

  - 在早於 2.2.26 版的 Django 2.2、早於 3.2.11 版的 Django 3.2 以及早於 4.0.1 版的 Django 4.0 中，如果將建構的檔案名稱直接傳遞給 Storage.save，則將會允許執行目錄遊走。(CVE-2021-45452)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Ubuntu 18.04 LTS / 20.04 LTS：Django 弱點 (USN-5204-1)

high Nessus Plugin ID 156472

版本 1.7