Python Library Django 4.2.x < 4.2.28 / 5.2.x < 5.2.11 / 6.0.x < 6.0.2 多个漏洞
medium Nessus 插件 ID 298044
语言：
简介
远程主机上安装的 Python 库受到多个漏洞的影响。描述
检测到的 Django Python 程序包 Django 为低于 4.2.28 的 4.2.x 版、低于 5.2.11 的 5.2.x 版或低于 6.0.2 的 6.0.x 版，因此，如安全版本公告所述，受到多个漏洞的影响：- 通过 mod_wsgi 进行身份验证时，django.contrib.auth.handlers.modwsgi.check_password() 函数存在漏洞，使得远程攻击者能通过时序攻击枚举用户。(CVE-2025-13473)
- ASGIRequest 存在漏洞，使得远程攻击者能通过包含多个重复标头的特制请求造成拒绝服务风险。(CVE-2025-14550)
- RasterField 上的栅格查找功能（仅在 PostGIS 上实现）存在漏洞，使得远程攻击者能通过频段索引参数注入 SQL。(CVE-2026-1207)
- django.utils.text.Truncator.chars() 和 Truncator.words() 方法（html=True）以及 truncatechars_html 和 truncatewords_html 模板过滤器存在漏洞，使得远程攻击者能通过包含大量不匹配 HTML 结束标签的特制输入内容造成拒绝服务风险。(CVE-2026-1285)
- FilteredRelation 在处理列别名时存在 SQL 注入漏洞。攻击者可将包含控制字符的特制字典作为 **kwargs 参数并通过字典扩展传递给 QuerySet 的 annotate()、aggregate()、extra()、values()、values_list() 和 alias() 方法，从而利用此漏洞。(CVE-2026-1287)
- QuerySet.order_by() 在处理包含句点的列别名时存在 SQL 注入漏洞。攻击者可构造恶意字典并以字典展开形式将该别名用于 FilteredRelation，从而利用此漏洞。
(CVE-2026-1312)
请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。
解决方案
升级到 Django 版本 4.2.28、5.2.11、6.0.2 或更高版本。另见
https://www.djangoproject.com/weblog/2026/feb/03/security-releases/
插件详情
严重性: Medium
ID: 298044
文件名: python_django_6_0_2.nasl
版本: 1.3
类型: local
代理: windows, macosx, unix
系列: Misc.
发布时间: 2026/2/5
最近更新时间: 2026/2/6
支持的传感器: Nessus Agent, Nessus
风险信息
VPR
风险因素: Medium
分数: 4.4
CVSS v2
风险因素: Critical
基本分数: 10
时间分数: 7.4
矢量: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:C
CVSS 分数来源: CVE-2026-1287
CVSS v3
风险因素: Medium
基本分数: 5.4
时间分数: 4.7
矢量: CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:N
时间矢量: CVSS:3.0/E:U/RL:O/RC:C
CVSS 分数来源: CVE-2026-1312
漏洞信息
CPE: cpe:/a:djangoproject:django
易利用性: No known exploits are available
补丁发布日期: 2026/2/3
漏洞发布日期: 2026/2/3
参考资料信息
CVE: CVE-2025-13473, CVE-2025-14550, CVE-2026-1207, CVE-2026-1285, CVE-2026-1287, CVE-2026-1312
IAVA: 2026-A-0105