远程 Debian 10 主机上安装的程序包受到 dla-3164 公告中提及的多个漏洞影响。

  - 在使用版本不低于 3.7 的 Python 的情况下，在 2.2.16 版之前的 Django 2.2、3.0.10 版之前的 Django 3.0 以及 3.1.1 版之前的 Django 3.1 中发现一个问题。未在创建于文件上传过程中的中间级目录中应用 FILE_UPLOAD_DIRECTORY_PERMISSIONS 模式。使用 collectstatic 管理命令时，也未在收集自中间级别的静态目录中应用该模式。(CVE-2020-24583)

  - 在使用版本不低于 3.7 的 Python 的情况下，在 2.2.16 版之前的 Django 2.2、3.0.10 版之前的 Django 3.0 以及 3.1.1 版之前的 Django 3.1 中发现一个问题。文件系统缓存的中间级目录使用系统的标准 umask，而不是 0o077。(CVE-2020-24584)

  - 0 到 3.6.13、3.7.0 到 3.7.10、3.8.0 到 3.8.8、3.9.0 到 3.9.2 版本的 python/cpython 程序包容易受到 Web 缓存中毒问题的影响，可使用名为参数隐身的矢量通过 urllib.parse.parse_qsl 和 urllib.parse.parse_qs 来造成此问题。当攻击者可使用分号 (;) 分隔查询参数时，这些参数可导致代理（以默认配置运行）与服务器之间的请求解释出现差异。这可导致恶意请求被缓存为完全安全的请求。这是因为代理通常不会将分号视为分隔符，所以不会将其包括在未加密参数的缓存密钥中。 (CVE-2021-23336)

  - 在 2.2 之前的 Django 2.2.18、 3.0 之前的 Django 3.0.12 和 3.1.6 之前的 Django 3.1 中，django.utils.archive.extract 方法（由 startapp --template 和 startproject  --template 使用）允许通过具有绝对路径或带点段的相对路径的存档遍历目录。(CVE-2021-3281)

  - 在 3.2.14 版之前的 Django 3.2 和 4.0.6 版之前的 Django 4.0 中发现一个问题。如果不受信任的数据被用作 kind/lookup_name 值，则 Trunc() 和 Extract() 数据库函数会受到 SQL 注入的影响。
    将查找名称和种类限制为已知安全列表的应用程序不受影响。
    (CVE-2022-34265)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Debian DLA-3164-1：python-django - LTS 安全更新

critical Nessus 插件 ID 166698

版本 1.3

版本 1.2

版本 1.3 Oct 6, 2023, 5:06 PM CVSS temporal metrics ("CVSSv2 temporal vector" set to "CVSS2#E:POC/RL:OF/RC:C". "CVSSv3 temporal vector" set to "CVSS:3.0/E:P/RL:O/RC:C") Exploit attributes ("Exploit available" set to "True". "Exploitability ease" changed from "No known exploits are available" to "Exploits are available") Plugin Feed: 202310061706
版本 1.2 Oct 29, 2022, 1:59 AM New Plugin Feed: 202210290159