There are packages installed that are affected by multiple vulnerabilities referenced in the following CVEs:

  - An issue was discovered in Django 6.1 before 6.1.2, 6.0 before 6.0.9, and 5.2 before 5.2.18.
    `django.utils.translation.get_supported_language_variant()` is subject to a potential denial-of-service
    attack when processing many distinct, very long language codes, which are retained as keys in an in-memory
    cache and consume process memory. Earlier, unsupported Django series (such as 5.1.x, 5.0.x, and 4.2.x)
    were not evaluated and may also be affected. Django would like to thank Gleb Lizunov for reporting this
    issue. (CVE-2026-77050)

  - An issue was discovered in Django 6.1 before 6.1.2, 6.0 before 6.0.9, and 5.2 before 5.2.18.
    `django.utils.http.parse_header_parameters()` was subject to a potential denial-of-service attack due to
    quadratic time complexity when parsing a value with many separators inside a quoted parameter. An
    unauthenticated request could reach this parsing through headers such as `Accept` or `Content-Type`, for
    instance via the content negotiation performed by `HttpRequest.accepts()`. The per-call length limit does
    not bound the combined size of repeated headers. Earlier, unsupported Django series (such as 5.1.x, 5.0.x,
    and 4.2.x) were not evaluated and may also be affected. Django would like to thank Jisung Chae for
    reporting this issue. (CVE-2026-84429)

  - An issue was discovered in Django 6.1 before 6.1.2, 6.0 before 6.0.9, and 5.2 before 5.2.18. An incomplete
    fix for CVE-2026-15307 in Django spatial lookups allows an attacker who can supply `bytes` values to cause
    the Django process to make network requests via a crafted VRT document referencing an external raster
    source. Earlier, unsupported Django series (such as 5.1.x, 5.0.x, and 4.2.x) were not evaluated and may
    also be affected. Django would like to thank sicksec for reporting this issue. (CVE-2026-87890)

  - An issue was discovered in Django 6.1 before 6.1.2, 6.0 before 6.0.9, and 5.2 before 5.2.18.
    `django.forms.models.BaseModelFormSet.save_existing_objects()` used the presence of a primary key on a
    submitted form's instance as evidence that the instance belonged to the formset's limiting queryset. An
    object outside that queryset is represented by a newly constructed instance whose primary key can still be
    populated from submitted data when the model's primary key is a field accepted by the form, such as a
    `OneToOneField` or parent link used as the primary key of an inline formset's model, or a natural or UUID
    primary key included in the form's fields. This allows an authenticated user permitted to submit such a
    formset to delete rows outside the limiting queryset, without any permission on the targeted object, via
    forged management-form data marking an out-of-queryset object for deletion. Models using the default
    AutoField primary key are not affected. Earlier, unsupported Django series (such as 5.1.x, 5.0.x, and
    4.2.x) were not evaluated and may also be affected. Django would like to thank Seonggwon Yoon for
    reporting this issue. (CVE-2026-87975)

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - 在早於 6.1.2 版的 Django 6.1、早於 6.0.9 版的 Django 6.0 以及早於 5.2.18 版的 Django 5.2 中發現一個問題。
    'django.utils.http.parse_header_parameters（）' 在剖析引號參數內有許多分隔符號的值時，由於二次時間複雜度，可能會受到拒絕服務攻擊。未經驗證的要求可能會透過「Accept」或「Content-Type」等標頭達到此剖析，例如透過「HttpRequest.accepts（）」執行的內容協商。每個呼叫的長度限制不會限制重複標頭的合併大小。先前，不支援的 Django 系列（例如 5.1.x、 和 5.0.x4.2.x）沒有被評估，也可能受到影響。Django 要感謝 Jisung Chae 報告此問題。（CVE-2026-84429）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

偵測到的 Django Python 套件版本在 之前6.0.x6.0.9或5.2.x5.2.18之前 或6.1.x6.1.2之前。因此，該主機會受到多個弱點影響，包括：

  - django.utils.translation.get_supported_language_variant（） 在處理許多不同且非常長的語言程式碼時，可能會受到拒絕服務攻擊，這些程式碼會保留為記憶體內快取中的金鑰，並耗用處理程序記憶體。（CVE-2026-77050）

  - django.utils.http.parse_header_parameters（） 在剖析引號參數內有許多分隔符號的值時，由於二次時間複雜度，可能會受到拒絕服務攻擊。未經驗證的要求可能會透過標頭 （例如 Accept 或 Content-Type） 來達到此剖析。（CVE-2026-84429）

  - Django 空間查找中的不完整修復 CVE-2026-15307 允許可以提供位元組值的攻擊者通過引用外部點陣源的特製 VRT 文檔發出網絡請求。（CVE-2026-87890）

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

检测到的 Django Python 程序包版本低于 5.2.x5.2.18、 6.0.x6.0.9低于 、 或6.1.x6.1.2低于 。因此，该应用程序受到多个漏洞的影响，其中包括：

  - django.utils.translation.get_supported_language_variant（） 在处理许多不同的极长语言代码（这些代码作为内存缓存中的密钥保留并消耗进程内存）时容易受到潜在的拒绝服务攻击。（CVE-2026-77050）

  - django.utils.http.parse_header_parameters（） 容易遭受潜在的拒绝服务攻击，这是因为解析引用的参数内有多个分隔符的值时的二次时间复杂度所导致。未经身份验证的请求可通过 Accept 或 Content-Type 等标头达到此解析目的。（CVE-2026-84429）

  - Django 空间查找中的 CVE-2026-15307 不完整修复允许可提供字节值的攻击者通过引用外部栅格源的构建 VRT 文档造成 Django 进程提出网络请求。（CVE-2026-87890）

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 在 6.1.2 版之前的 Django 6.1、6.0.9 版之前的 Django 6.0 以及 5.2.18 版之前的 Django 5.2 中发现一个问题。
    解析引用的参数内有多个分隔符的值时，由于二次时间复杂度，“django.utils.http.parse_header_parameters（）”容易遭受潜在的拒绝服务攻击。未经认证的请求可通过“Accept”或“Content-Type”等标头达到此解析，例如通过“HttpRequest.accepts（）”执行的内容协商。每次调用的长度限制不会限制重复标头的总大小。以前，不受支持的 Django 系列（如 5.1.x、 5.0.x和 4.2.x）未进行评估，因此可能也受到影响。Django 在此感谢 Jisung Chae 报告此问题。（CVE-2026-84429）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

検出されたDjango Pythonパッケージのバージョンは、5.2.18より前、6.0.x6.0.9より前、6.1.x6.1.2より前の5.2.xです。そのため、以下を含む複数の脆弱性による影響を受けます:

  - django.utils.translation.get_supported_language_variant() は、メモリ内キャッシュにキーとして保持され、プロセスメモリを消費する、多数の異なる非常に長い言語コードを処理するときに、DoS 攻撃(サービス拒否攻撃)を受ける可能性があります。(CVE-2026-77050)

  - django.utils.http.parse_header_parameters() は、引用符で囲まれたパラメーター内に多数のセパレーターがある値を解析する際の二次時間複雑度による、潜在的なサービス拒否攻撃の影響を受けやすいです。認証されていないリクエストが、Accept や Content-Type などのヘッダーを介してこれに到達する可能性があります。(CVE-2026-84429)

  - Django の空間検索における CVE-2026-15307 の修正が不完全なため、バイト値を供給できる攻撃者が、外部ラスターソースを参照する細工された VRT ドキュメントを介して、Django プロセスにネットワークリクエストを発生させる可能性があります。(CVE-2026-87890)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Django 6.1.2以前の、6.16.0.9以前の、6.05.2.18以前の 5.2に問題が発見されました。
    「django.utils.http.parse_header_parameters()」は、引用符で囲まれたパラメーター内に多数のセパレーターがある値を解析する際の二次時間複雑度のために、サービス拒否攻撃を受ける可能性があります。認証されていないリクエストが、例えば「HttpRequest.accepts()」が実行するコンテンツネゴシエーションを介して、「Accept」または「Content-Type」などのヘッダーを通してこの解析に到達する可能性があります。呼び出しごとの長さ制限は、繰り返されるヘッダーの合計サイズをバインドしません。以前は、サポートされていない Django シリーズ( 5.1.x、 5.0.x、 4.2.x など)は評価されておらず、影響を受ける可能性もあります。Django は、この問題を報告してくれた Jisung Chae 氏に感謝の意を表します。(CVE-2026-84429)

Nessus は、ベンダーから報告されたパッケージの存在に依存していることに注意してください。

The detected version of the Django Python package is 5.2.x prior to 5.2.18, or 6.0.x prior to 6.0.9, or 6.1.x prior to 6.1.2. It is, therefore, affected by multiple vulnerabilities, including:

  - django.utils.translation.get_supported_language_variant() is subject to a potential denial-of-service attack     when processing many distinct, very long language codes, which are retained as keys in an in-memory cache and     consume process memory. (CVE-2026-77050)

  - django.utils.http.parse_header_parameters() is subject to a potential denial-of-service attack due to quadratic     time complexity when parsing a value with many separators inside a quoted parameter. An unauthenticated request     could reach this parsing through headers such as Accept or Content-Type. (CVE-2026-84429)

  - An incomplete fix for CVE-2026-15307 in Django spatial lookups allows an attacker who can supply bytes values to     cause the Django process to make network requests via a crafted VRT document referencing an external raster     source. (CVE-2026-87890)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - An issue was discovered in Django 6.1 before 6.1.2, 6.0 before 6.0.9, and 5.2 before 5.2.18.
    `django.utils.http.parse_header_parameters()` was subject to a potential denial-of-service attack due to     quadratic time complexity when parsing a value with many separators inside a quoted parameter. An     unauthenticated request could reach this parsing through headers such as `Accept` or `Content-Type`, for     instance via the content negotiation performed by `HttpRequest.accepts()`. The per-call length limit does     not bound the combined size of repeated headers. Earlier, unsupported Django series (such as 5.1.x, 5.0.x,     and 4.2.x) were not evaluated and may also be affected. Django would like to thank Jisung Chae for     reporting this issue. (CVE-2026-84429)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	名稱	產品	系列	已發布	已更新	嚴重性
474354	Alpine: multiple py3-django packages: security update to 5.2.18-r0	Tenable Self-Hosted Container Security	Alpine Linux Local Security Checks	2026/10/12	2026/10/12	medium
474354	Alpine: multiple py3-django packages: security update to 5.2.18-r0	Tenable Cloud Security	Alpine Linux Local Security Checks	2026/10/12	2026/10/12	medium
363424	Linux Distros 未修補弱點：CVE-2026-84429	Nessus	Misc.	2026/10/6	2026/10/8	medium
364197	Python Library Django 5.2.x < 5.2.18 / 6.0.x < 6.0.9 / 6.1.x < 6.1.2 多個弱點	Nessus	Misc.	2026/10/8	2026/10/9	medium
364197	Python Library Django 5.2.x < 5.2.18 / 6.0.x < 6.0.9 / 6.1.x < 6.1.2 多个漏洞	Nessus	Misc.	2026/10/8	2026/10/9	medium
363424	Linux Distros 未修补的漏洞：CVE-2026-84429	Nessus	Misc.	2026/10/6	2026/10/8	medium
364197	Python Library Django 5.2.x < 5.2.18 / 6.0.x < 6.0.9 / 6.1.x < 6.1.2 複数の脆弱性	Nessus	Misc.	2026/10/8	2026/10/9	medium
363424	Linux Distros のパッチ未適用の脆弱性: CVE-2026-84429	Nessus	Misc.	2026/10/6	2026/10/8	medium
364197	Python Library Django 5.2.x < 5.2.18 / 6.0.x < 6.0.9 / 6.1.x < 6.1.2 Multiple Vulnerabilities	Nessus	Misc.	2026/10/8	2026/10/9	medium
363424	Linux Distros Unpatched Vulnerability : CVE-2026-84429	Nessus	Misc.	2026/10/6	2026/10/8	medium

偵測

搜尋 Plugin

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium