摘要:
python-jinja2 security update
安全等级: High
公告ID: KylinSec-SA-2025-2617
发布日期: 2025年7月11日
关联CVE: CVE-2025-27516
Jinja2 是 Python 最常用的模板引擎之一。它受到 Django 模板系统的启发，但通过一种更具表现力的语言进行了扩展，为模板作者提供了一套更强大的工具。此外，它还增加了沙箱执行和可选的自动转义功能，适用于安全性至关重要的应用场景。
安全修复：
Jinja 是一个可扩展的模板引擎。在 3.1.6 版本之前，由于 Jinja 沙箱环境与 |attr 过滤器的交互存在疏漏，攻击者可以通过控制模板内容来执行任意 Python 代码。要利用此漏洞，攻击者需要能够控制模板内容，具体是否可行取决于使用 Jinja 的应用程序类型。该漏洞主要影响执行不可信模板的应用程序用户。
Jinja 的沙箱机制原本能够捕获 str.format 的调用并确保其不会逃逸沙箱限制。然而，攻击者可以利用 |attr 过滤器获取字符串的普通 format 方法引用，从而绕过沙箱防护。修复后，|attr 过滤器不再绕过环境的属性查找机制。此漏洞已在 3.1.6 版本中修复。(CVE-2025-27516)
| cve名称 | 产品 | 组件 | 是否受影响 |
|---|---|---|---|
| CVE-2025-27516 | V6 | python-jinja2 | Fixed |
| 软件名称 | 架构 | 版本号 |
|---|---|---|
| python-jinja2-help | noarch | 3.1.3-5.ks6 |
| python3-jinja2 | noarch | 3.1.3-5.ks6 |
方法一：下载安装包进行升级安装
1、通过下载链接下载需要升级的升级包保存，如 xxx.rpm
2、通过rpm命令升级，如 rpm -Uvh xxx.rpm
方法二：通过软件源进行升级安装
1、保持能够连接上互联网
2、通过yum命令升级指定的包，如 yum install 包名
