リモートの Debian 9 ホストには、dla-3024 のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

  - 1.11.29 より前の Django 1.11、2.2.11より前の 2.2、3.0.4 より前の 3.0 では、Oracle の GIS 関数と集約で許容パラメーターとして信頼できないデータが使用された場合、SQL インジェクションが引き起こされる可能性があります。適切に細工された許容値をOracleのGIS関数および集約に渡すことで、エスケープを中断し、悪意のあるSQLを注入することが可能でした。(CVE-2020-9402)

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

検出

Debian DLA-3024-1: python-django - LTS セキュリティ更新

high Nessus プラグイン ID 161614

変更ログが見つかりません