Python 库 sqlparse < 0.6.0 多种漏洞

high Nessus 插件 ID 338624

语言：

简介

远程主机上安装的 Python 库受到多个漏洞的影响。

描述

远程主机上安装的 sqlparse Python 库版本低于 0.6.0. 因此，该应用程序受到多个漏洞的影响：

- sqlparse 中存在拒绝服务漏洞，原因是词法分析器使用正则表达式来匹配美元引用字符串和多行注释。未经身份验证的远程攻击者可利用此漏洞，通过提供特制的 SQL 输入，造成灾难性回溯并耗尽可用资源。（CVE-2026-59893）

- sqlparse/sql.py 中实现的标记列表处理的 sqlparse 中存在一个拒绝服务漏洞。未经身份验证的远程攻击者可利用此问题，通过提供深度嵌套的 SQL 输入，过度消耗 CPU 和内存资源。（CVE-2026-54284）

- sqlparse/engine/grouping.py 中实现的注释分组逻辑的 sqlparse 中存在一个拒绝服务漏洞。未经身份验证的远程攻击者可利用此漏洞，通过提供包含许多注释的特制 SQL 输入，因反复重新扫描标记流而消耗过多资源。（CVE-2026-71491）

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。