CVE-2025-64460 - XML序列化器文本提取中的潜在拒绝服务漏洞
概述
描述
在Django 5.2（5.2.9之前）、5.1（5.1.15之前）和4.2（4.2.27之前）版本中发现了一个问题。
django.core.serializers.xml_serializer.getInnerText()函数中的算法复杂度问题，允许远程攻击者通过XML反序列化器处理的特制XML输入，触发CPU和内存耗尽，从而造成潜在的拒绝服务攻击。
更早的、不受支持的Django系列（例如5.0.x、4.1.x和3.2.x）尚未评估，也可能受到影响。
Django感谢Seokchan Yoon报告此问题。
发布日期：2025年12月2日 下午4:15 最后修改日期：2025年12月2日 下午5:16 可远程利用：否 来源：6a34fbeb-21d4-45e7-8e0a-62b95bc12c92
受影响产品
以下产品受CVE-2025-64460漏洞影响。 即使cvefeed.io知晓受影响产品的确切版本，相关信息也未在下表中体现。 暂无受影响产品记录。
总受影响供应商：0 | 产品：0
解决方案
更新Django到修复版本，以防止XML反序列化导致的拒绝服务。
- 更新Django至5.2.9或更高版本。
- 更新Django至5.1.15或更高版本。
- 更新Django至4.2.27或更高版本。
参考链接（公告、解决方案和工具）
这里提供与CVE-2025-64460相关的深入信息、实用解决方案和宝贵工具的外部链接精选列表。
| URL | 资源 |
|---|---|
| docs.djangoproject.com/en/dev/rele… | Django安全发布说明 |
| groups.google.com/g/django-an… | Django公告群组 |
| www.djangoproject.com/weblog/2025… | Django安全发布博客 |
CWE - 通用缺陷枚举
虽然CVE标识了特定的漏洞实例，但CWE对可能导致漏洞的常见缺陷或弱点进行分类。CVE-2025-64460与以下CWE相关联：
CWE-407：低效算法复杂度
常见攻击模式枚举与分类（CAPEC）
常见攻击模式枚举与分类（CAPEC）存储了攻击模式，这些模式描述了对手利用CVE-2025-64460弱点所采用的常见属性和方法。
漏洞历史记录
下表列出了随时间对CVE-2025-64460漏洞所做的更改。 漏洞历史记录详细信息有助于理解漏洞的演变，并识别可能影响漏洞严重性、可利用性或其他特征的最新更改。
新CVE接收（由6a34fbeb-21d4-45e7-8e0a-62b95bc12c92提供） 日期：2025年12月2日
| 操作 | 类型 | 旧值 | 新值 |
|---|---|---|---|
| 添加 | 描述 | 在Django 5.2（5.2.9之前）、5.1（5.1.15之前）和4.2（4.2.27之前）版本中发现了一个问题。django.core.serializers.xml_serializer.getInnerText()函数中的算法复杂度问题，允许远程攻击者通过XML反序列化器处理的特制XML输入，触发CPU和内存耗尽，从而造成潜在的拒绝服务攻击。更早的、不受支持的Django系列（例如5.0.x、4.1.x和3.2.x）尚未评估，也可能受到影响。Django感谢Seokchan Yoon报告此问题。 | |
| 添加 | CWE | CWE-407 | |
| 添加 | 参考 | docs.djangoproject.com/en/dev/rele… | |
| 添加 | 参考 | groups.google.com/g/django-an… | |
| 添加 | 参考 | www.djangoproject.com/weblog/2025… |
