Django框架SQL注入漏洞CVE-2022-34265

近日,我司监测到Django发布安全公告,修复了一个存在于Django框架中的SQL注入漏洞。在受影响的Django版本中,可以通过传递恶意数据作为kind/lookup_name的值,如果应用程序在将这些参数传递给Trunc() 和 Extract() 数据库函数之前没有经过输入过滤或转义,则容易受到SQL注入攻击。将lookup name 和kind choice限制在已知安全列表中的应用程序不受影响。

Django 是用 Python 开发的一个免费开源的 Web 框架,几乎囊括了 Web 应用的方方面面,可以用于快速搭建高性能、优雅的网站,Django 提供了许多网站后台开发经常用到的模块,使开发者能够专注于业务部分。

 

影响版本:

  • Django == 4.1 (测试版)
  • 4.0 <= Django < 4.0.6
  • 3.2 <= Django < 3.2.14

 

安全版本:

  • Django 4.0.6
  • Django 3.2.14

 

修复建议:

官方已发布安全版本,请及时下载更新,下载地址:

https://www.djangoproject.com/download/

 

发表评论

评论已关闭。

相关文章