远程 Ubuntu 20.04 LTS 主机上安装的一个程序包受到 USN-5373-1 公告中提及的多个漏洞影响。

  - 在 Django 2.2 至 2.2.28、3.2 至 3.2.13 和 4.0 至 4.0.4 版本的 QuerySet.explain() 中发现 SQL 注入问题。当系统将构建的字典（带有字典扩展）作为
    **选项参数进行传递并将注入有效负载放置在选项名称中时，就会引发此问题。(CVE-2022-28347)

  - 在 Django 2.2.22 之前的 2.2 版、3.1.10 之前的 3.1 版 ，以及 3.2.2 之前的 3.2 版（与 Python 3.9.5 及更高版本）中，URLValidator 未禁止换行符和制表符（除非使用 URLField 表单字段）。如果应用程序在 HTTP 响应中使用包含换行符的值，则可能发生标头注入。Django 本身不受影响，因为 HttpResponse 禁止在 HTTP 标头中使用换行符。(CVE-2021-32052)

  - 在 2.2.28 版之前的 Django 2.2、3.2.13 版之前的 Django 3.2 以及 4.0.4 版之前的 Django 4.0 中发现一个问题。
    通过作为将构建的字典（具有字典扩展）用作传递的 **kwargs，QuerySet.annotate()、aggregate() 和 extra() 方法会在列别名中注入 SQL。(CVE-2022-28346)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机受到 GLSA-202509-03 中所述漏洞的影响Django多个漏洞

    已在 Django 中发现多种漏洞。请检查下方引用的 CVE 标识符以了解详细信息。

Tenable 已直接从 Gentoo Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Ubuntu 18.04 LTS / 20.04 LTS / 20.10 / 21.04 主机上安装的程序包受到 USN-4975-1 公告中提及的多个漏洞的影响。

  - 在 Django 2.2.22 之前的 2.2 版、3.1.10 之前的 3.1 版 ，以及 3.2.2 之前的 3.2 版（与 Python 3.9.5 及更高版本）中，URLValidator 未禁止换行符和制表符（除非使用 URLField 表单字段）。如果应用程序在 HTTP 响应中使用包含换行符的值，则可能发生标头注入。Django 本身不受影响，因为 HttpResponse 禁止在 HTTP 标头中使用换行符。(CVE-2021-32052)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Ubuntu 16.04 ESM 主机上安装的多个程序包受到 USN-5373-2 公告中提及的多个漏洞影响。

    USN-5373-1 修复了 Django 中的一些漏洞。此更新提供针对 Ubuntu 14.04 ESM 和 Ubuntu 16.04 ESM 的相应更新。



Tenable 已直接从 Ubuntu 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
159630	Ubuntu 18.04 LTS / 20.04 LTS：Django 漏洞 (USN-5373-1)	Nessus	Ubuntu Local Security Checks	2022/4/11	2025/9/3	critical
265369	GLSA-202509-03 Django多种漏洞	Nessus	Gentoo Local Security Checks	2025/9/18	2025/9/18	critical
150144	Ubuntu 18.04 LTS / 20.04 LTS：Django 漏洞 (USN-4975-1)	Nessus	Ubuntu Local Security Checks	2021/6/2	2025/9/3	high
159639	Ubuntu 16.04 ESM：Django 漏洞 (USN-5373-2)	Nessus	Ubuntu Local Security Checks	2022/4/11	2024/10/29	critical

检测

插件搜索

critical

critical

high

critical