Debian dla-4802 ： python-django-doc - 安全性更新

low Nessus Plugin ID 352260

語言:

概要

遠端 Debian 主機上缺少一個或多個安全性更新。

說明

遠端 Debian 12 主機已安裝的套件會受到 dla-4802 公告中提及的多個弱點影響。

- ------------------------------------------------------------------------- Debian LTS 公告 DLA-4802-1 [email protected] https://www.debian.org/lts/security/Chris Lamb 2026 年 9 月 29 日 https://wiki.debian.org/LTS
- -------------------------------------------------------------------------

套件： python-django 版本： 3:3.2.25-0+deb12u5 CVE ID ： CVE-2026-48587 CVE-2026-48588 Debian 錯誤： 1138775 1141629

在基於 Python 的 Web 開發框架 Django 中發現多個漏洞：

CVE-2026-48587

透過 Vary 標頭中的空格填邊可能洩露私人資料。django.middleware.cache.UpdateCacheMiddleware 錯誤地快取了 Vary 標頭值包含前導或尾隨空格的回應。由於 has_vary_header 無法去除該空格，因此無法將具有 Vary： * 標頭（注意尾端空格）的回應識別為包含萬用字元，導致該字元被儲存並可能在不應該儲存時從快取中提供。

CVE-2026-48588

當傳入要求攜帶不相關的 cookie 時，UpdateCacheMiddleware 和 @cache_page 裝飾器會快取因 cookie 而變化的回應，這使得遠端攻擊者能夠從共用快取中讀取私人資料。

對於 Debian 12 書蟲，這些問題已在 .2.25-0+deb12u5 版本 3:3中修復。

建議您升級 python-django 套件。

如需有關 python-django 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
https://security-tracker.debian.org/tracker/python-django

有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

解決方案

升級 python-django-doc 套件。

另請參閱

https://packages.debian.org/source/bookworm/python-django

https://security-tracker.debian.org/tracker/CVE-2026-48587

https://security-tracker.debian.org/tracker/CVE-2026-48588

http://www.nessus.org/u?22eb32f6

Plugin 詳細資訊

嚴重性: Low

ID: 352260

檔案名稱: debian_DLA-4802.nasl

版本: 1.1

類型: Local

代理程式: unix

系列: Debian Local Security Checks

已發布: 2026/9/30

已更新: 2026/9/30

支援的感應器: Agentless Assessment, Continuous Assessment, Frictionless Assessment Agent, Nessus Agent, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus