Python Library Django 4.2.x < 4.2.27 / 5.1.x < 5.1.15 / 5.2.x < 5.2.9 多個弱點

high Nessus Plugin ID 277467

語言:

概要

遠端主機上安裝的 Python 程式庫受到多個弱點影響。

說明

偵測到的 Django Python 套件 Django 版本是比 [ 4.2.x 舊的 4.2.27、比 5.1.x 舊的 5.1.15或比 5.2.x 舊的 5.2.9。因此會受到安全性版本公告所提及的多個弱點影響

- 在 5.2 之前的 5.2.9、 5.1 之前的 5.1.15和 4.2 之前的 4.2.27中發現一個問題。當「**kwargs」傳遞至 PostgreSQL 上的「QuerySet.annotate()」或「QuerySet.alias()」時「FilteredRelation」容易發生欄別名中的 SQL 插入使用適當特製的字典並透過字典擴充來插入 SQL。之前未評估不受支援的 Django 系列 (例如 5.0.x、 4.1.x和 3.2.x)因此也可能受到影響。Django 要感謝 Stackered 報告此問題。 (CVE-2025-13372)

- 在 5.2 之前的 5.2.9、 5.1 之前的 5.1.15和 4.2 之前的 4.2.27中發現一個問題。`django.core.serializers.xml_serializer.getInnerText()` 中的演算法複雜允許遠端攻擊者造成潛在的拒絕服務攻擊可透過 XML `Deserializer` 處理的特製 XML 輸入觸發 CPU 和記憶體耗盡。之前未評估不受支援的 Django 系列 (例如 5.0.x、 4.1.x和 3.2.x)因此也可能受到影響。Django 要感謝 Seokchan Yoon 報告此問題。 (CVE-2025-64460)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。