遠端 Debian 11 主機已安裝受到多個弱點影響的套件如 dla-4458 公告中所提及。

    - ------------------------------------------------- ------------------------ Debian LTS 公告 DLA-4458-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Chris Lamb 2026 年 1 月 28 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件 python-django 版本 2:2.2.28-1~deb11u11 CVE ID CVE-2024-39614 CVE-2024-45231 CVE-2024-42005 CVE-2024-41991 CVE-2024-39329 CVE-2024-41989 CVE-2024-39330 CVE-2025-6069

    在 Python 型 Web 開發架構 Django 中發現多個弱點

    - - CVE-2024-39614修正 django.utils.translation.get_supported_language_variant 中一個潛在的拒絕服務問題。搭配含有特定字元的超長字串使用此方法時可能會遭受 DoS 攻擊。為減輕此弱點提供給 get_supported_language_variant 的語言程式碼現在最多可剖析 500 個字元的長度。

    - - CVE-2024-45231透過密碼重設時的回應狀態進行潛在使用者電子郵件列舉。由於未處理的電子郵件傳送失敗django.contrib.auth.forms.PasswordResetForm 類別允許遠端攻擊者發出密碼重設要求並觀察結果藉此列舉使用者電子郵件。為減輕此風險在密碼重設電子郵件傳送期間發生的例外狀況現在會使用 django.contrib.auth 記錄器來處理和記錄。

    - - CVE-2024-42005在 QuerySet.values() 和 values_list() 中可能發生 SQL 插入。透過將特製 JSON 物件金鑰作為傳遞的 *arg在具有 JSONField 的模型上的 QuerySet.values() 和 values_list() 方法容易受到欄別名中的 SQL 插入影響。

    - - CVE-2024-41991django.utils.html.urlize() 和 AdminURLFieldWidget 中有潛在的拒絕服務弱點。urlize 和 urlizetrunc 範本篩選器以及 AdminURLFieldWidget 小工具可能透過含有大量 Unicode 字元的特定輸入遭受拒絕服務攻擊。

    - - CVE-2024-39329避免密碼無法使用的使用者透過時間差發生的使用者名稱列舉弱點。django.contrib.auth.backends.ModelBackend 方法的驗證方法允許遠端攻擊者透過定時攻擊對無法使用的密碼提出登入要求的使用者列舉使用者。

    - - CVE-2024-41989django.utils.numberformat 中的記憶體耗盡問題。若使用具有大指數的科學計數法給定數字的字串表示法floatformat 範本篩選器容易耗用大量記憶體。

    - - CVE-2024-39330解決 django.core.files.storage.Storage.save 中一個潛在的目錄遊走問題。此方法基礎類別的衍生類別會在呼叫 save() 時在沒有復寫父項類別中現有的檔案路徑驗證的情況下覆寫 generate_filename這會允許潛在的目錄遊走。內建的 Storage 子類別未受此弱點影響。

    此外python3.9 原始碼套件 (作為 DLA 4445-1中的更新套件的一部分發布) 的 CVE-2025-6069 修正可修改 html.parser.HTMLParser 類別的方式使 Django 的 strip_tags() 行為變更Django 的 testsuite 所測試之某些邊緣案例中的方法。由於發生此回歸請針對新的預期結果更新 testsuite。

    針對 Debian 11 Bullseye這些問題已在版本 2:2.2.28-1~deb11u11 中修正。

    建議您升級 python-django 套件。

    如需有關 python-django 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/python-django

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12 主機上安裝的多個套件受到 dsa-6136 公告中提及的多個弱點影響。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-6136-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2026 年 2 月 15 日https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件：python-django CVE ID：CVE-2023-41164 CVE-2023-43665 CVE-2024-24680 CVE-2024-27351 CVE-2024-39329 CVE-2024-39330 CVE-2024-39614 CVE-2024-41989 CVE-2024-41991 CVE-2024-42005 CVE-2024-45231 CVE-2024-53907 CVE-2024-56374 CVE-2025-13372 CVE-2025-26699 CVE-2025-32873 CVE-2025-48432 CVE-2025-57833 CVE-2025-59681 CVE-2025-59682 CVE-2025-64459 CVE-2025-64460

    Python Web 開發框架 Django 中發現了多個安全性問題，可能導致拒絕服務、資訊外洩、目錄遍歷或 SQL 注入。

    針對舊的穩定發行版本 (bookwarm)，這些問題已在 3:3.2.25-0+deb12u1 版本中修正。 python-django-storages 也需要更新，以確保持續相容 (1.13.2-1+deb12u1)。

    建議您升級 python-django 套件。

    如需有關 python-django 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/python-django

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測到的 Django Python 套件 Django 為 4.2.16 之前的 4.2.x 版、5.0.9 之前的 5.0.x 版或 5.1.1 之前的 5.1.x 版。因此，它受到 2024 年 9 月 3 日安全公告中提及的多個弱點影響：

  - 攻擊者可能會透過具有特定字元序列的非常大的輸入對 urlize 和 urlizetrunc 執行拒絕服務攻擊。(CVE-2024-45230)  
  - 由於未處理的電子郵件傳送失敗，django.contrib.auth.forms.PasswordResetForm 類別允許遠端攻擊者發出密碼重設要求並觀察結果，藉此列舉使用者電子郵件。
  (CVE-2024-45231)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - 在 Django v5.1.1、v5.0.9 和 v4.2.16 中發現一個問題。django.contrib.auth.forms.PasswordResetForm 類別在實作密碼重設流程的檢視中使用時，允許遠端攻擊者透過傳送密碼重設要求並觀察結果來列舉使用者電子郵件地址 (僅當電子郵件傳送一致時失敗)。 (CVE-2024-45231)

請注意，Nessus 依賴供應商報告的套件存在。

遠端主機受到 GLSA-202509-03 中所述的弱點影響 (Django多個弱點)

    在 Django 中發現多個弱點。如需詳細資訊，請檢閱下方提及的 CVE 識別碼。

Tenable 已直接從 Gentoo Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	名稱	產品	系列	已發布	已更新	嚴重性
297052	Debian dla-4458python-django-doc - 安全性更新	Nessus	Debian Local Security Checks	2026/1/28	2026/1/28	critical
299143	Debian dsa-6136：python-django-doc - 安全性更新	Nessus	Debian Local Security Checks	2026/2/15	2026/2/15	critical
206676	Python Library Django 4.2.x < 4.2.16 / 5.0.x < 5.0.9 / 5.1.x < 5.1.1 多個弱點	Nessus	Misc.	2024/9/5	2025/11/10	medium
228474	Linux Distros 未修補弱點：CVE-2024-45231	Nessus	Misc.	2025/3/5	2026/2/15	medium
265369	GLSA-202509-03 Django多個弱點	Nessus	Gentoo Local Security Checks	2025/9/18	2025/9/18	critical

偵測

搜尋 Plugin

critical

critical

medium

medium

critical