CVE-2025-64460 - XML序列化器文本提取中的潜在拒绝服务漏洞
概述
描述
在Django 5.2（5.2.9之前）、5.1（5.1.15之前）和4.2（4.2.27之前）版本中发现了一个问题。
django.core.serializers.xml_serializer.getInnerText()函数中的算法复杂度问题，允许远程攻击者通过XML反序列化器处理的特制XML输入，触发CPU和内存耗尽，从而造成潜在的拒绝服务攻击。
更早的、不受支持的Django系列（例如5.0.x、4.1.x和3.2.x）尚未评估，也可能受到影响。
Django感谢Seokchan Yoon报告此问题。
发布日期：2025年12月2日 下午4:15
最后修改日期：2025年12月2日 下午5:16
可远程利用：否
来源：6a34fbeb-21d4-45e7-8e0a-62b95bc12c92
受影响产品
以下产品受CVE-2025-64460漏洞影响。
即使cvefeed.io知晓受影响产品的确切版本，相关信息也未在下表中体现。
暂无受影响产品记录。
总受影响供应商：0 | 产品：0
解决方案
更新Django到修复版本，以防止XML反序列化导致的拒绝服务。
- 更新Django至5.2.9或更高版本。
- 更新Django至5.1.15或更高版本。
- 更新Django至4.2.27或更高版本。
参考链接（公告、解决方案和工具）
这里提供与CVE-2025-64460相关的深入信息、实用解决方案和宝贵工具的外部链接精选列表。
| URL | 资源 |
|---|---|
| https://docs.djangoproject.com/en/dev/releases/security/ | Django安全发布说明 |
| https://groups.google.com/g/django-announce | Django公告群组 |
| https://www.djangoproject.com/weblog/2025/dec/02/security-releases/ | Django安全发布博客 |
CWE - 通用缺陷枚举
虽然CVE标识了特定的漏洞实例，但CWE对可能导致漏洞的常见缺陷或弱点进行分类。CVE-2025-64460与以下CWE相关联：
CWE-407：低效算法复杂度
常见攻击模式枚举与分类（CAPEC）
常见攻击模式枚举与分类（CAPEC）存储了攻击模式，这些模式描述了对手利用CVE-2025-64460弱点所采用的常见属性和方法。
漏洞历史记录
下表列出了随时间对CVE-2025-64460漏洞所做的更改。
漏洞历史记录详细信息有助于理解漏洞的演变，并识别可能影响漏洞严重性、可利用性或其他特征的最新更改。
新CVE接收（由6a34fbeb-21d4-45e7-8e0a-62b95bc12c92提供）
日期：2025年12月2日
| 操作 | 类型 | 旧值 | 新值 |
|---|---|---|---|
| 添加 | 描述 | 在Django 5.2（5.2.9之前）、5.1（5.1.15之前）和4.2（4.2.27之前）版本中发现了一个问题。django.core.serializers.xml_serializer.getInnerText()函数中的算法复杂度问题，允许远程攻击者通过XML反序列化器处理的特制XML输入，触发CPU和内存耗尽，从而造成潜在的拒绝服务攻击。更早的、不受支持的Django系列（例如5.0.x、4.1.x和3.2.x）尚未评估，也可能受到影响。Django感谢Seokchan Yoon报告此问题。 |
|
| 添加 | CWE | CWE-407 | |
| 添加 | 参考 | https://docs.djangoproject.com/en/dev/releases/security/ | |
| 添加 | 参考 | https://groups.google.com/g/django-announce | |
| 添加 | 参考 | https://www.djangoproject.com/weblog/2025/dec/02/security-releases/ | |
| 更多精彩内容 请关注我的个人公众号 公众号（办公AI智能小助手） | |||
| 对网络安全、黑客技术感兴趣的朋友可以关注我的安全公众号（网络安全技术点滴分享） |
公众号二维码
公众号二维码
