遠端 Debian 10 主機上安裝的多個套件受到 dla-3191 公告中提及的多個弱點影響。

  - 在早於 2.2.26 版的 Django 2.2、早於 3.2.11 版的 Django 3.2 以及早於 4.0.1 版的 Django 4.0 中，如果將建構的檔案名稱直接傳遞給 Storage.save，則將會允許執行目錄遊走。(CVE-2021-45452)

  - 早於 2.2.27 的 Django 2.2、早於 3.2.12 的 Django 3.2、早於 4.0.2 的 Django 4.0 中的 {% debug %} 範本標籤不會正確編碼目前的內容。此漏洞可導致 XSS。(CVE-2022-22818)

  - 在早於 2.2.27 版的 Django 2.2、早於 3.2.12 版的 Django 3.2 以及早於 4.0.2 版的 Django 4.0 的 MultiPartParser 中發現一個問題。剖析檔案時，將特定輸入傳遞至多部分錶單可導致無限迴圈。
    (CVE-2022-23833)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Debian DLA-3191-1：python-django - LTS 安全性更新

medium Nessus Plugin ID 167780

版本 1.2