Debian dla-4484python-django-doc - 安全性更新

critical Nessus Plugin ID 299630

語言:

概要

遠端 Debian 主機上缺少一個或多個安全性更新。

說明

遠端 Debian 11 主機已安裝受到多個弱點影響的套件如 dla-4484 公告中所提及。

- ------------------------------------------------- ------------------------------------ Debian LTS 公告 DLA-4484-1 [email protected] https://www.debian.org/lts/security/Chris Lamb 2026 年 2 月 19 日 https://wiki.debian.org/LTS
- -------------------------------------------------------------------------

套件 python-django 版本 2:2.2.28-1~deb11u12 CVE ID CVE-2025-13473 CVE-2026-1207 CVE-2026-1285 CVE-2026-1287 CVE-2026-1312 CVE-2025-6069 CVE-2025-57833

在 Python 型 web 開發架構 Django 中發現多個弱點

- - CVE-2025-13473django.contrib.auth.handlers.modwsgi 中透過 mod_wsgi 進行驗證的 check_password 函式會讓遠端攻擊者透過定時攻擊列舉使用者。

- - CVE-2026-1207RasterField 上的點陣查閱 (僅在 PostGIS 上實作) 允許遠端攻擊者透過帶區索引參數插入 SQL。

- - CVE-2026-1285︰django.utils.text.Truncator.chars() 和 Truncator.words() 方法 (with html=True)以及 truncatechars_html 和 truncatewords_html 範本篩選器允許遠端攻擊者造成拒絕服務透過含有大量不相符的 HTML 結尾標籤的特製輸入。

- - CVE-2026-1287隨著**kwargs 傳遞至 QuerySet 方法 annotate()、aggregate()、extra()、values( )、values_list() 和 alias()。

- - CVE-2026-1312FilteredRelation 中使用適當特製的字典搭配字典擴充時QuerySet.order_by() 容易遭受含有句點的欄別名的 SQL 插入攻擊。

此外python3.9 原始碼套件 (作為 DLA 4445-1中的更新套件的一部分發布) 的 CVE-2025-6069 修正修改了 Python 的 html.parser.HTMLParser 類別其會變更 Django 的 strip_tags() 方法行為在 Django 的 testsuite 所測試的某些邊緣案例中。由於此回歸導致我們已針對新的預期結果更新 testsuite。

針對 Debian 11 Bullseye此問題已在版本 2:2.2.28-1~deb11u12 中修正。

建議您升級 python-django 套件。

如需有關 python-django 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
https://security-tracker.debian.org/tracker/python-django

有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。