遠端 Debian 11 主機已安裝受到多個弱點影響的套件如 dla-4458 公告中所提及。

    - ------------------------------------------------- ------------------------ Debian LTS 公告 DLA-4458-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Chris Lamb 2026 年 1 月 28 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件 python-django 版本 2:2.2.28-1~deb11u11 CVE ID CVE-2024-39614 CVE-2024-45231 CVE-2024-42005 CVE-2024-41991 CVE-2024-39329 CVE-2024-41989 CVE-2024-39330 CVE-2025-6069

    在 Python 型 Web 開發架構 Django 中發現多個弱點

    - - CVE-2024-39614修正 django.utils.translation.get_supported_language_variant 中一個潛在的拒絕服務問題。搭配含有特定字元的超長字串使用此方法時可能會遭受 DoS 攻擊。為減輕此弱點提供給 get_supported_language_variant 的語言程式碼現在最多可剖析 500 個字元的長度。

    - - CVE-2024-45231透過密碼重設時的回應狀態進行潛在使用者電子郵件列舉。由於未處理的電子郵件傳送失敗django.contrib.auth.forms.PasswordResetForm 類別允許遠端攻擊者發出密碼重設要求並觀察結果藉此列舉使用者電子郵件。為減輕此風險在密碼重設電子郵件傳送期間發生的例外狀況現在會使用 django.contrib.auth 記錄器來處理和記錄。

    - - CVE-2024-42005在 QuerySet.values() 和 values_list() 中可能發生 SQL 插入。透過將特製 JSON 物件金鑰作為傳遞的 *arg在具有 JSONField 的模型上的 QuerySet.values() 和 values_list() 方法容易受到欄別名中的 SQL 插入影響。

    - - CVE-2024-41991django.utils.html.urlize() 和 AdminURLFieldWidget 中有潛在的拒絕服務弱點。urlize 和 urlizetrunc 範本篩選器以及 AdminURLFieldWidget 小工具可能透過含有大量 Unicode 字元的特定輸入遭受拒絕服務攻擊。

    - - CVE-2024-39329避免密碼無法使用的使用者透過時間差發生的使用者名稱列舉弱點。django.contrib.auth.backends.ModelBackend 方法的驗證方法允許遠端攻擊者透過定時攻擊對無法使用的密碼提出登入要求的使用者列舉使用者。

    - - CVE-2024-41989django.utils.numberformat 中的記憶體耗盡問題。若使用具有大指數的科學計數法給定數字的字串表示法floatformat 範本篩選器容易耗用大量記憶體。

    - - CVE-2024-39330解決 django.core.files.storage.Storage.save 中一個潛在的目錄遊走問題。此方法基礎類別的衍生類別會在呼叫 save() 時在沒有復寫父項類別中現有的檔案路徑驗證的情況下覆寫 generate_filename這會允許潛在的目錄遊走。內建的 Storage 子類別未受此弱點影響。

    此外python3.9 原始碼套件 (作為 DLA 4445-1中的更新套件的一部分發布) 的 CVE-2025-6069 修正可修改 html.parser.HTMLParser 類別的方式使 Django 的 strip_tags() 行為變更Django 的 testsuite 所測試之某些邊緣案例中的方法。由於發生此回歸請針對新的預期結果更新 testsuite。

    針對 Debian 11 Bullseye這些問題已在版本 2:2.2.28-1~deb11u11 中修正。

    建議您升級 python-django 套件。

    如需有關 python-django 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/python-django

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Debian dla-4458python-django-doc - 安全性更新

critical Nessus Plugin ID 297052

版本 1.1