偵測到的 Django Python 套件 Django 為 4.2.28 之前的 4.2.x 版、5.2.11 之前的 5.2.x 版或 6.0.2 之前的 6.0.x 版。因此，會受到安全性版本公告所提及的多個弱點影響：

  - 透過 mod_wsgi 驗證的 django.contrib.auth.handlers.modwsgi.check_password() 函式允許遠端攻擊者透過定時攻擊列舉使用者。(CVE-2025-13473)

  - ASGIRequest 允許遠端攻擊者透過具有多個重複標頭的特製要求造成潛在的拒絕服務。(CVE-2025-14550)

  - RasterField 上的點陣查閱 (僅在 PostGIS 上實作) 允許遠端攻擊者透過區段索引參數插入 SQL。(CVE-2026-1207)

  - django.utils.text.Truncator.chars() 和 Truncator.words() 方法 (html=True) 以及 truncatechars_html 和 truncatewords_html 範本篩選器允許遠端攻擊者透過特製的輸入 (其中包含大量不相符的 HTML 結束標籤) 造成潛在的拒絕服務攻擊。(CVE-2026-1285)

  - FilteredRelation 容易受到 SQL 插入攻擊，攻擊者可以透過控制字元在欄別名中使用特製的字典，並利用字典擴展，將 **kwargs 傳遞給 QuerySet 方法 annotate()、aggregate()、extra()、values()、values_list() 和 alias()。(CVE-2026-1287)

  - 當使用特製的字典並利用字典擴展，在 FilteredRelation 中使用包含句點的欄別名時，QuerySet.order_by() 容易受到 SQL 插入攻擊。
    (CVE-2026-1312)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Python Library Django 4.2.x < 4.2.28 / 5.2.x < 5.2.11 / 6.0.x < 6.0.2 多個弱點

medium Nessus Plugin ID 298044

找不到依附元件