在基于 Python 的 Web 开发框架 Django 中发现了两个问题：

  - CVE-2021-33203：通过 admindocs 可能造成目录遍历

    工作人员可使用 admindocs TemplateDetailView 视图检查是否存在任意文件。
    此外，当（且仅当）开发人员将默认 admindocs 模板自定义为同时显示文件内容时，不仅会暴露 admindocs 模板，还会暴露文件内容。

    作为缓解措施，现在应用了路径审查，并且只能加载模板根目录中的文件。

    根据 Django 安全策略，此问题属于低危问题。

    感谢 CodeQL Python 团队的 Rasmus Lerchedahl Petersen 和 Rasmus Wriedt Larsen 提供此报告。

  - CVE-2021-33571：自验证器接受 IPv4 地址中的前导零后，可能发生不明 SSRF、RFI 和 LFI 攻击

    URLValidator、validate_ipv4_address() 和 validate_ipv46_address() 不会禁止在八进制字面量中使用前导零字符。如果使用了此类值，则您可能会遭受不确定的 SSRF、RFI 和 LFI 攻击。

    validate_ipv4_address() 和 validate_ipv46_address() 验证器在 Python 3.9.5+ 上不受影响。

    根据 Django 安全策略，此问题属于中危问题。

对于 Debian 9“Stretch”，已在版本 1:1.10.7-2+deb9u14 中修复此问题。

我们建议您升级 python-django 程序包。

如需了解 python-django 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/python-django

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

检测

Debian DLA-2676-1：python-django 安全更新

high Nessus 插件 ID 150303

版本 1.2