Debian dla-4484python-django-doc - 安全更新

critical Nessus 插件 ID 299630

语言：

简介

远程 Debian 主机上缺少一个或多个与安全相关的更新。

描述

远程 Debian 11 主机上存在安装的程序包该程序包受到 dla-4484 公告中提及的多个漏洞的影响。

- ------------------------------------------------- ------------------------ Debian LTS 公告 DLA-4484-1 [email protected] https://www.debian.org/lts/security/Chris Lamb 2026 年 2 月 19 日 https://wiki.debian.org/LTS
- -------------------------------------------------------------------------

程序包python-django 版本 2:2.2.28-1~deb11u12 CVE ID CVE-2025-13473 CVE-2026-1207 CVE-2026-1285 CVE-2026-1287 CVE-2026-1312 CVE-2025-6069 CVE-2025-57833

发现基于 Python 的 Web 开发框架 Django 中存在多个漏洞

- - CVE-2025-13473django.contrib.auth.handlers.modwsgi 中的 check_password 函数通过 mod_wsgi 进行认证允许远程攻击者通过时序攻击枚举用户。

- - CVE-2026-1207RasterField 上的栅格查找仅在 PostGIS 中实现允许远程攻击者通过分段索引参数注入 SQL。

- - CVE-2026-1285django.utils.text.Truncator.chars() 和 Truncator.words() 方法html=True 以及 truncatechars_html 和 truncatewords_html 模板过滤器允许远程攻击者造成潜在拒绝服务通过包含大量不匹配的 HTML 结束标签的构建输入。

- - CVE-2026-1287FilteredRelation 会通过使用适当构建的字典以及字典扩展的控制字符在列别名中受到 SQL 注入因为传递到 QuerySet 方法 annotate()、aggregate()、extra()、values )、values_list() 和alias()。

- - CVE-2026-1312当同一个别名使用具有字典扩展的适当构建字典用于 FilteredRelation 时QuerySet.order_by() 会在包含句号的列别名中受到 SQL 注入。

此外python3.9 源程序包在 CVE-2025-6069DLA 4445-1] 中作为更新套件的一部分发布中的补丁修改了 Python 的 html.parser.HTMLParser 类从而更改了 Django 的 strip_tags() 方法的行为由 Django 的测试套件测试的某些边缘情况。由于此回归我们已针对新的预期结果更新测试套件。

对于 Debian 11 Bullseye已在版本 2:2.2.28-1~deb11u12 中修复此问题。

我们建议您升级 python-django 程序包。

如需了解 python-django 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/python-django

有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。