リモートのDebian 11ホストには、dla-4425アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - -------------------------------------------------- -------------------------- Debian LTS アドバイザリ DLA-4425-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Chris 2025 年 12 月 29 日の Lamb https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    パッケージ python-django バージョン 2:2.2.28-1~deb11u10 CVE ID CVE-2025-64459 CVE-2025-64460 Debian バグ 1121788

    Python ベースの Web 開発フレームワークである Django に 2 つの問題があることが発見されました。

     * CVE-2025-64459QuerySet/Q オブジェクトの _connector キーワード引数を通じた潜在的な SQL インジェクション。QuerySet filter()、exclude()、get() のメソッドと Q() クラスは、_connector 引数として適切に細工された辞書を使用した場合、SQL インジェクションの対象となっていました。

     * CVE-2025-64460XML シリアライザーテキスト抽出における潜在的なサービス拒否の脆弱性。django.core.serializers.xml_serializer.getInnerText() のアルゴリズムの複雑性の問題により、リモートの攻撃者が、XML Deserializer を呼び出すサービスに送信された特別に細工された XML 入力を通じて、CPU およびメモリの枯渇を引き起こすサービス拒否を引き起こす可能性があります。この脆弱性は、テキストノードを再帰的に収集する際に、文字列の連結が繰り返されることで、超線形計算を実行していました。

    Debian 11 Bullseyeでは、これらの問題はバージョン 2:2.2.28-1~deb11u10で修正されました。

    python-django パッケージをアップグレードすることを推奨します。

    python-django の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください：
    https://security-tracker.debian.org/tracker/python-django

    Debian LTS セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://wiki.debian.org/LTS

前述の説明ブロックは、Tenable が Debian セキュリティアドバイザリから直接抽出したものです。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Ubuntu 14.04 LTS / 16.04 LTS / 18.04 LTS / 20.04 LTS / 22.04 LTS / 24.04 LTS / 25.04 / 25.10 ホストには、USN-7903-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    DjangoがFilteredRelationオブジェクトの特定の文字を不適切に処理することがわかりました。攻撃者がこの問題を利用して、任意のSQLコマンドを実行する可能性があります。この問題は、Ubuntu 20.04 LTS、Ubuntu 22.04 LTS、Ubuntu 24.04 LTS、Ubuntu 25.04 LTS、および Ubuntu 25.10 にのみ影響を与えます。(CVE-2025-13372)

    Seokchan Yuon氏は、DjangoがXMLオブジェクトの逆シリアル化を非効率的に処理することを発見しました。攻撃者がこの問題を利用して、Djangoに過剰なリソースを使用させ、サービス拒否を引き起こす可能性があります。
    (CVE-2025-64460)

Tenable は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLES15/openSUSE 15 ホストには、SUSE-SU-2025:4384-1 のアドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    - CVE-2025-13372FilteredRelation の SQL インジェクションを修正しましたbsc#1254437
    - CVE-2025-64460django.core.serializers.xml_serializer.getInnerText() の特別に細工された XML 入力によるサービス拒否を修正しましたbsc#1254437

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Fedora 43 ホストには、FEDORA-2025-24dfd3b072 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - CVE-2025-13372 を修正: PostgreSQL の FilteredRelation 列エイリアスにある潜在的 SQL インジェクション
    - CVE-2025-64460 を修正: XML Deserializer にある潜在的なサービス拒否の脆弱性
    - CVE-2025-64459 を修正: _connector キーワード引数を通じた潜在的な SQL インジェクション (5.2.8)
    - CVE-2025-59681 を修正: MySQL および MariaDB の QuerySet.annotate()、alias()、aggregate()、extra() での SQL インジェクション (5.2.7)
    - CVE-2025-59682 を修正: archive.extract() で部分的に発生する可能性のあるディレクトリトラバーサル (5.2.7)
    - CVE-2025-57833 を修正: FilteredRelation 列エイリアスにある潜在的 SQL インジェクション (5.2.6)

Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモート openSUSE 16 ホストには、openSUSE-SU-2025-20153-1 アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - CVE-2025-64459「QuerySet」および「Q」オブジェクトの「_connector」キーワード引数を介した、潜在的な SQL インジェクションを修正しましたbsc#1252926
    - CVE-2025-13372、CVE-2025-64460「django.core.serializers.xml_serializer.getInnerText()」のサービス拒否を修正しましたbsc#1254437

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Django Python パッケージ 4.2.x Djangoの検出されたバージョンは、 4.2.27より前の 、 5.1.x より前の 5.1.15、または より前 5.2.x のです 5.2.9。したがって、セキュリティリリースアドバイザリに記載されているとおり、複数の脆弱性の影響を受けます

  - より前の 5.2.95.2 、 5.1 より前の 5.1.15]、 4.2 より前の 4.2.27で問題が発見されました。 「FilteredRelation」は、「**kwargs」が PostgreSQL の「QuerySet.annotate()」または「QuerySet.alias()」に渡されるとおり、辞書拡張を伴う適切に細工された辞書を使用することで、列エイリアスの SQL インジェクションの対象となります。以前には、サポートされていない Django シリーズ 5.0.x、 4.1.x、 3.2.xなどは評価されず、また影響を受ける可能性があります。Djangoは、この問題を報告してくれたStackedに感謝の意を表します。CVE-2025-13372

  - より前の 5.2.95.2 、 5.1 より前の 5.1.15]、 4.2 より前の 4.2.27で問題が発見されました。「django.core.serializers.xml_serializer.getInnerText()」のアルゴリズムの複雑性により、リモートの攻撃者が、XML 「Deserializer」によって処理される特別に細工された XML 入力を介して、CPU およびメモリの枯渇を発生させる DoS 攻撃サービス拒否攻撃を引き起こす可能性があります。以前には、サポートされていない Django シリーズ 5.0.x、 4.1.x、 3.2.xなどは評価されず、また影響を受ける可能性があります。Djangoは、この問題を報告してくれたSeokchan Yoon氏に感謝の意を表します。CVE-2025-64460

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Fedora 42 ホストには、FEDORA-2025-b1379d950d のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - CVE-2025-13372 を修正: PostgreSQL の FilteredRelation 列エイリアスにある潜在的 SQL インジェクション
    - CVE-2025-64460 を修正: XML Deserializer にある潜在的なサービス拒否の脆弱性
    - CVE-2025-64459 を修正: _connector キーワード引数を通じた潜在的な SQL インジェクション (4.2.26)
    - CVE-2025-59681 を修正: MySQL および MariaDB の QuerySet.annotate()、alias()、aggregate()、extra() での SQL インジェクション (4.2.25)
    - CVE-2025-59682 を修正: archive.extract() で部分的に発生する可能性のあるディレクトリトラバーサル (4.2.25)
    - CVE-2025-57833 を修正: FilteredRelation 列エイリアスにある潜在的 SQL インジェクション (4.2.24)


Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Fedora 42 ホストには、FEDORA-2025-45ee190318 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - CVE-2025-13372 を修正: PostgreSQL の FilteredRelation 列エイリアスにある潜在的 SQL インジェクション
    - CVE-2025-64460 を修正: XML Deserializer にある潜在的なサービス拒否の脆弱性
    - CVE-2025-64459 を修正: _connector キーワード引数を通じた潜在的な SQL インジェクション (5.2.8)
    - CVE-2025-59681 を修正: MySQL および MariaDB の QuerySet.annotate()、alias()、aggregate()、extra() での SQL インジェクション (5.2.7)
    - CVE-2025-59682 を修正: archive.extract() で部分的に発生する可能性のあるディレクトリトラバーサル (5.2.7)
    - CVE-2025-57833 を修正: FilteredRelation 列エイリアスにある潜在的 SQL インジェクション (5.2.6)


Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Debian 13 ホストには、dsa-6117 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - ------------------------------------------------------------------------- Debian セキュリティアドバイザリ DSA-6117-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2026 年 1 月 31 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    パッケージ: python-django CVE ID: CVE-2025-13372 CVE-2025-57833 CVE-2025-59681 CVE-2025-59682 CVE-2025-64459 CVE-2025-64460

    Python Web 開発フレームワークである Django で、複数のセキュリティの問題が見つかりました。これにより、SQL インジェクション、ディレクトリトラバーサル、サービス拒否が発生する可能性があります。

    安定版 (stable) ディストリビューション (trixie) では、これらの問題はバージョン 3:4.2.27-0+deb13u1 で修正されています。

    python-django パッケージをアップグレードすることを推奨します。

    python-django の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください:
    https://security-tracker.debian.org/tracker/python-django

    Debian セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://www.debian.org/security/

    メーリングリスト: debian-security-announce@lists.debian.org

前述の説明ブロックは、Tenable が Debian セキュリティアドバイザリから直接抽出したものです。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Debian 12 ホストには、dsa-6136 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - ------------------------------------------------------------------------- Debian セキュリティアドバイザリ DSA-6136-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2026 年 2 月 15 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    パッケージ : python-django CVE ID : CVE-2023-41164 CVE-2023-43665 CVE-2024-24680 CVE-2024-27351 CVE-2024-39329 CVE-2024-39330 CVE-2024-39614 CVE-2024-41989 CVE-2024-41991 CVE-2024-42005 CVE-2024-45231 CVE-2024-53907 CVE-2024-56374 CVE-2025-13372 CVE-2025-26699 CVE-2025-32873 CVE-2025-48432 CVE-2025-57833 CVE-2025-59681 CVE-2025-59682 CVE-2025-64459 CVE-2025-64460

    Python Web 開発フレームワークである Django で、複数のセキュリティの問題が見つかりました。これにより、サービス拒否、情報漏えい、ディレクトリトラバーサル、SQL インジェクションが発生する可能性があります。

    旧安定版 oldstable ディストリビューション (bookworm) では、これらの問題はバージョン 3:3.2.25-0+deb12u1 で修正されました。python-django-storages も継続的な互換性を確保するために更新する必要があります (1.13.2-1+deb12u1)。

    python-django パッケージをアップグレードすることを推奨します。

    python-django の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください:
    https://security-tracker.debian.org/tracker/python-django

    Debian セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://www.debian.org/security/

    メーリングリスト: debian-security-announce@lists.debian.org

前述の説明ブロックは、Tenable が Debian セキュリティアドバイザリから直接抽出したものです。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
280137	Debian dla-4425 : python-django-doc - セキュリティ更新	Nessus	Debian Local Security Checks	2025/12/30	2025/12/30	medium
277365	Ubuntu 14.04 LTS / 16.04 LTS / 18.04 LTS / 20.04 LTS / 22.04 LTS / 24.04 LTS / 25.04 / 25.10 Django の脆弱性USN-7903-1	Nessus	Ubuntu Local Security Checks	2025/12/4	2026/3/3	medium
278598	SUSE SLES15 / openSUSE 15 セキュリティ更新 : python-Django (SUSE-SU-2025:4384-1)	Nessus	SuSE Local Security Checks	2025/12/13	2025/12/13	medium
279045	Fedora 43 : python-django5 (2025-24dfd3b072)	Nessus	Fedora Local Security Checks	2025/12/18	2025/12/18	medium
278603	openSUSE 16 セキュリティ更新python-DjangoopenSUSE-SU-2025-20153-1]	Nessus	SuSE Local Security Checks	2025/12/13	2025/12/13	medium
277467	Python Library Django 4.2.x < 4.2.27 / 5.1.x < 5.1.15 / 5.2.x < 5.2.9 複数の脆弱性	Nessus	Misc.	2025/12/4	2026/3/3	medium
279042	Fedora 42 : python-django4.2 (2025-b1379d950d)	Nessus	Fedora Local Security Checks	2025/12/18	2025/12/18	medium
279041	Fedora 42 : python-django5 (2025-45ee190318)	Nessus	Fedora Local Security Checks	2025/12/18	2025/12/18	medium
297437	Debian dsa-6117: python-django-doc - セキュリティ更新	Nessus	Debian Local Security Checks	2026/1/31	2026/1/31	medium
299143	Debian dsa-6136 : python-django-doc - セキュリティ更新	Nessus	Debian Local Security Checks	2026/2/15	2026/2/15	critical

検出

プラグインの検索

medium

medium

medium

medium

medium

medium

medium

medium

medium

critical