摘要:
python-jinja2 security update
安全等级: High
公告ID: KylinSec-SA-2025-2556
发布日期: 2025年7月2日
关联CVE: CVE-2025-27516
Jinja2 是 Python 中最常用的模板引擎之一。它受 Django 模板系统的启发，并通过一种更具表现力的语言进行了扩展，为模板作者提供了更强大的工具集。此外，它还增加了沙盒执行功能，并为注重安全性的应用提供了可选的自动转义机制。
安全修复：
Jinja 是一个可扩展的模板引擎。在 3.1.6 版本之前，由于 Jinja 沙盒环境与 |attr 过滤器的交互存在缺陷，攻击者可通过控制模板内容执行任意 Python 代码。要利用此漏洞，攻击者需能够控制模板内容，具体是否可行取决于使用 Jinja 的应用程序类型。该漏洞主要影响执行不可信模板的应用程序用户。
Jinja 的沙盒机制原本可以捕获 str.format 调用并确保其不会逃逸沙盒，但攻击者仍可利用 |attr 过滤器获取字符串的普通 format 方法引用，从而绕过沙盒限制。
修复后，|attr 过滤器不再绕过环境的属性检查机制。此漏洞已在 3.1.6 版本 中修复。(CVE-2025-27516)
| cve名称 | 产品 | 组件 | 是否受影响 |
|---|---|---|---|
| CVE-2025-27516 | KY3.5.3 | python-jinja2 | Fixed |
| 软件名称 | 架构 | 版本号 |
|---|---|---|
| python-jinja2-help | noarch | 3.0.3-7.ky3_5 |
| python3-jinja2 | noarch | 3.0.3-7.ky3_5 |
方法一：下载安装包进行升级安装
1、通过下载链接下载需要升级的升级包保存，如 xxx.rpm
2、通过rpm命令升级，如 rpm -Uvh xxx.rpm
方法二：通过软件源进行升级安装
1、保持能够连接上互联网
2、通过yum命令升级指定的包，如 yum install 包名
