检测到的 Django Python 程序包 Django 为低于 4.2.21 的 [ 4.2.x 或低于 5.1.x 的 5.1.9 或低于 5.2.x 的 5.2.1。

因此受到 Django 2025 年 5 月 7 日安全公告中披露的拒绝服务漏洞的影响。django.utils.html.strip_tags() 函数容易受到处理包含大量不完整 HTML 标签的输入时潜在的拒绝服务性能低下的影响。模板过滤器 striptags 也容易受到影响因为它构建于 strip_tags() 之上。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上存在安装的程序包该程序包受到 dla-4210 公告中提及的多个漏洞的影响。

    - ------------------------------------------------- ------------------------ Debian LTS 公告 DLA-4210-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Chris Lamb 2025 年 6 月 09 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包python-django 版本 2:2.2.28-1~deb11u7 CVE ID CVE-2025-48432 CVE-2025-32873 CVE-2023-41164 CVE-2023-43665 CVE-2024-24680 CVE-2024-27351 Debian 缺陷1107282 1104872 1051226

    在基于 Python 的流行 web 开发框架 Django 中发现了多个漏洞

     * CVE-2025-48432通过非转义请求路径的潜在日志注入。

       Django 的内部 HTTP 响应日志记录直接使用 request.path允许将控制字符例如换行符或 ANSI 转义序列以非转义方式写入日志中。这可造成日志注入或伪造从而让攻击者操纵日志外观或结构尤其是在由外部系统处理或在终端中查看的日志中。
       解决 #1107282

     * CVE-2025-32873: strip_tags() 中可能存在的拒绝服务

       django.utils.html.strip_tags() 评估某些包含大量不完整 HTML 标签序列的输入时速度缓慢。此函数用于实施 striptags 模板过滤器因此也容易受到攻击。 strip_tags() 如果遇到异常大量的未关闭开始标签现在会引发 SuspiciousOperation 异常。
       解决 #1104872

     * CVE-2023-41164django.utils.encoding.uri_to_iri() 中的潜在拒绝服务漏洞。此方法容易受到通过某些具有大量 Unicode 字符的输入进行的潜在拒绝服务攻击。解决 #1051226

     * CVE-2023-43665解决 django.utils.text.Truncator 中可能发生的拒绝服务。

       在 CVE-2019-14232的修复后修订和改进了实现 django.utils.text.Truncator?s chars() 和 words() 方法html=True 时使用的正则表达式。但是这些正则表达式仍然呈现出线性回溯的复杂性因此当给定很长、可能畸形的 HTML 输入时评估仍然会很慢从而导致潜在的拒绝服务漏洞。chars() 和 words() 方法用于实现 truncatechars_html 和 truncatewords_html 模板过滤器因此也容易受到攻击。Trancator 在 HTML 模式下操作时处理的输入已限制为前五百万个字符以避免潜在的性能和内存问题。

     * CVE-2024-24680intcomma 模板过滤器中的潜在拒绝服务。当使用超长字符串时intcomma 模板过滤器会受到潜在的拒绝服务攻击。

     * CVE-2024-27351修复 django.utils.text.Truncator.words 中潜在的正则表达式拒绝服务 (ReDoS) 攻击。方法html=True 和 truncatewords_html 模板过滤器容易通过适当构建的字符串受到正则表达式拒绝服务攻击。部分是 CVE-2019-14232 和 CVE-2023-43665的后续版本。

    对于 Debian 11 Bullseye这些问题已在版本 2:2.2.28-1~deb11u7 中修复。

    我们建议您升级 python-django 程序包。

    如需了解 python-django 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/python-django

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 在 4.2.21 版之前的 Django 4.2、5.1.9 版之前的 Django 5.1 以及 5.2.1 版之前的 Django 5.2 中发现一个问题。django.utils.html.strip_tags() 函数容易受到处理包含大量不完整 HTML 标签的输入时潜在的拒绝服务性能低下的影响。模板过滤器 striptags 也容易受到影响因为它构建于 strip_tags() 之上。 (CVE-2025-32873)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

远程 Ubuntu 20.04 LTS / 22.04 LTS / 24.04 / 24.10 / 25.04 LTS 主机上安装的程序包受到 USN-7501-1 公告中提及的漏洞的影响。

    Elias Myllymki 发现 Django 未能正确处理不完整 HTML 标签的大型序列的剥离。远程攻击者可利用此问题造成 Django 消耗资源，从而导致拒绝服务。

Tenable 已直接从 Ubuntu 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机受到 GLSA-202509-03 中所述漏洞的影响Django多个漏洞

    已在 Django 中发现多种漏洞。请检查下方引用的 CVE 标识符以了解详细信息。

Tenable 已直接从 Gentoo Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
235780	Python 库 Django 4.2.x < 4.2.21 / 5.1.x < 5.1.9 / 5.2.x < 5.2.1 DoS	Nessus	Windows	2025/5/13	2025/6/5	medium
238025	Debian dla-4210python-django-doc - 安全更新	Nessus	Debian Local Security Checks	2025/6/9	2025/6/9	high
247481	Linux Distros 未修补的漏洞：CVE-2025-32873	Nessus	Misc.	2025/8/10	2025/8/10	high
235492	Ubuntu 20.04 LTS / 22.04 LTS / 24.04 LTS / 24.10 / 25.04 Django 漏洞 (USN-7501-1)	Nessus	Ubuntu Local Security Checks	2025/5/7	2025/6/5	high
265369	GLSA-202509-03 Django多种漏洞	Nessus	Gentoo Local Security Checks	2025/9/18	2025/9/18	critical

检测

插件搜索

medium

high

high

high

critical