Debian DSA-5254-1：python-django - 安全更新

critical Nessus 插件 ID 166158

语言：

简介

远程 Debian 主机上缺少一个或多个与安全性相关的更新。

描述

远程 Debian 11 主机上安装的多个程序包受到 dsa-5254 公告中提及的多个漏洞影响。

- 在 2.2 之前的 Django 2.2.27、 3.2 之前的 Django 3.2.12 和 4.0 之前的 Django 4.0.2 中，模板标签 {% debug %} 不会正确编码当前上下文。此漏洞可导致 XSS。(CVE-2022-22818)

- 在 2.2.27 之前的 Django 2.2、3.2.12 版之前的 Django 3.2 以及 4.0.2 版之前的 Django 4.0 的 MultiPartParser 中发现一个问题。解析文件时，将某些输入传递到多部分表单可导致无限循环。
(CVE-2022-23833)

- 在 2.2.28 版之前的 Django 2.2、3.2.13 版之前的 Django 3.2 以及 4.0.4 版之前的 Django 4.0 中发现一个问题。
通过作为将构建的字典（具有字典扩展）用作传递的 **kwargs，QuerySet.annotate()、aggregate() 和 extra() 方法会在列别名中注入 SQL。(CVE-2022-28346)

- 在 Django 2.2 至 2.2.28、3.2 至 3.2.13 和 4.0 至 4.0.4 版本的 QuerySet.explain() 中发现 SQL 注入问题。当系统将构建的字典（带有字典扩展）作为
**选项参数进行传递并将注入有效负载放置在选项名称中时，就会引发此问题。(CVE-2022-28347)

- 在 3.2.14 版之前的 Django 3.2 和 4.0.6 版之前的 Django 4.0 中发现一个问题。如果不受信任的数据被用作 kind/lookup_name 值，则 Trunc() 和 Extract() 数据库函数会受到 SQL 注入的影响。
将查找名称和种类限制为已知安全列表的应用程序不受影响。
(CVE-2022-34265)

- 在 3.2.15 版之前的 Django 3.2、4.0.7 版之前的 Django 4.0的 HTTP FileResponse 类中发现一个问题。
当文件名派生自用户提供的输入时，应用程序容易受到设置 FileResponse 的 Content-Disposition 标头的反射型文件下载 (RFD) 攻击的影响。 (CVE-2022-36359)

- Django 报告：CVE-2022-41323: 国际化 URL 中的潜在拒绝服务漏洞。(CVE-2022-41323)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。