偵測到的 Django Python 套件 Django 版本是 4.2.x 之前的 4.2.21 或 5.1.x 之前的 5.1.9 或 5.2.x 之前的 5.2.1。

因此會受到 Django 2025 年 5 月 7 日安全性公告中所披露的一個拒絕服務弱點影響。處理含有大量不完整 HTML 標籤序列的輸入時django.utils.html.strip_tags() 函式容易受到拒絕服務弱點影響 (效能緩慢)。範本篩選器 striptags 也容易遭受攻擊因為它是以 strip_tags() 為基礎所構建。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機已安裝受到多個弱點影響的套件如 dla-4210 公告中所提及。

    - ------------------------------------------------- ------------------------ Debian LTS 公告 DLA-4210-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Chris Lamb 2025 年 6 月 9 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件 python-django 版本 2:2.2.28-1~deb11u7 CVE ID CVE-2025-48432 CVE-2025-32873 CVE-2023-41164 CVE-2023-43665 CVE-2024-24680 CVE-2024-27351 Debian 錯誤 1107282 1104872 1051226

    在受歡迎的 Python 型 web 開發架構 Django 中發現數個弱點

     * CVE-2025-48432可能透過未逸出的要求路徑插入記錄。

       Django 的內部 HTTP 回應記錄直接使用 request.path進而允許控製字元 (例如新行或 ANSI 逸出序列) 以未逸出的方式寫入記錄中。這可導致記錄插入或偽造進而讓攻擊者操控記錄外觀或結構特別是在由外部系統處理或在終端機中檢視的記錄中。
       (解決 #1107282)

     * CVE-2025-32873strip_tags() 中可能存在拒絕服務

       django.utils.html.strip_tags() 在評估含有大量大型不完整 HTML 標籤序列的特定輸入時會變慢。此函式用於實作 striptags 範本篩選器因此也容易遭受攻擊。 strip_tags() 現在如果遇到數量異常大的未封閉開始標籤會引發 SuspiciousOperation 例外狀況。
       (解決 #1104872)

     * CVE-2023-41164django.utils.encoding.uri_to_iri() 中有潛在的拒絕服務弱點。透過含有大量 Unicode 字元的特定輸入此方法可能會遭受拒絕服務攻擊。(解決 #1051226)

     * CVE-2023-43665解決 django.utils.text.Truncator 中可能發生的拒絕服務。

        CVE-2019-14232修正之後修正並改善了 django.utils.text.Truncator??s chars() 和 words() 方法 (使用 html=True) 實作中使用的規則運算式。不過這些規則運算式仍然呈現線性回溯複雜性因此當給予非常長且可能格式錯誤的 HTML 輸入時評估仍然會很慢進而導致潛在的拒絕服務弱點。使用 chars() 和 words() 方法來實作 truncatechars_html 和 truncatewords_html 範本篩選器導致它們也容易遭受攻擊。Truncator 處理的輸入 (在 HTML 模式下運作時) 僅限使用前 500 萬字元以避免潛在的效能和記憶體問題。

     * CVE-2024-24680intcomma 範本篩選器中可能發生拒絕服務。與極長的字串搭配使用時intcomma 範本篩選器可能會遭受拒絕服務攻擊。

     * CVE-2024-27351修正 django.utils.text.Truncator.words 中的潛在規則運算式拒絕服務 (ReDoS) 攻擊。此方法 (html=True) 和 truncatewords_html 範本篩選器會透過特製的字串容易遭受潛在的規則運算式拒絕服務攻擊。這部分是 CVE-2019-14232 和 CVE-2023-43665的後續行動。

    針對 Debian 11 Bullseye這些問題已在版本 2:2.2.28-1~deb11u7 中修正。

    建議您升級 python-django 套件。

    如需有關 python-django 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/python-django

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - 在早於 4.2.21 版的 Django 4.2、早於 5.1.9 版的 Django 5.1 以及早於 5.2.1 版的 Django 5.2 中發現一個問題。處理含有大量不完整 HTML 標籤序列的輸入時django.utils.html.strip_tags() 函式容易受到拒絕服務弱點影響 (效能緩慢)。範本篩選器 striptags 也容易遭受攻擊因為它是以 strip_tags() 為基礎所構建。 (CVE-2025-32873)

請注意，Nessus 依賴供應商報告的套件存在。

遠端 Ubuntu 20.04 LTS / 22.04 LTS / 24.04 LTS / 24.10 / 25.04主機上安裝的一個套件受到 USN-7501-1 公告中所提及的一個弱點影響。

    Elias Myllymki 發現Django 未正確處理去除不完整 HTML 標籤的大型序列。遠端攻擊者可能會利用此問題造成 Django 耗用資源，進而導致拒絕服務。

Tenable 已直接從 Ubuntu 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端主機受到 GLSA-202509-03 中所述的弱點影響 (Django多個弱點)

    在 Django 中發現多個弱點。如需詳細資訊，請檢閱下方提及的 CVE 識別碼。

Tenable 已直接從 Gentoo Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	名稱	產品	系列	已發布	已更新	嚴重性
235780	Python 程式庫 Django 4.2.x < 4.2.21 / 5.1.x < 5.1.9 / 5.2.x < 5.2.1 DoS	Nessus	Windows	2025/5/13	2025/6/5	medium
238025	Debian dla-4210python-django-doc - 安全性更新	Nessus	Debian Local Security Checks	2025/6/9	2025/6/9	high
247481	Linux Distros 未修補的弱點：CVE-2025-32873	Nessus	Misc.	2025/8/10	2025/8/10	high
235492	Ubuntu 20.04 LTS / 22.04 LTS / 24.04 LTS / 24.10 / 25.04 Django 弱點 (USN-7501-1)	Nessus	Ubuntu Local Security Checks	2025/5/7	2025/6/5	high
265369	GLSA-202509-03 Django多個弱點	Nessus	Gentoo Local Security Checks	2025/9/18	2025/9/18	critical

偵測

搜尋 Plugin

medium

high

high

high

critical