Уязвимост в уеб-фреймворка Django, която може да доведе до инжектиране на SQL код.

Публикувани са коригиращи версии на уеб фреймворка Django 4.0.6 и 3.2.14, които поправят уязвимост (CVE-2022-34265), потенциално позволяваща изпълнението на собствен SQL код. Проблемата засяга приложения, които използват непроверени външни данни в параметрите kind и lookup_name, предавани на функциите Trunc(kind) и Extract(lookup_name). Програмите, които приемат само проверени данни в стойностите на lookup_name и kind, не са засегнати от уязвимостта.

Проблема блокирована через запрет использования в аргументах функций Extract и Trunc символов отличных от букв, цифр, «-«, «_», «(» и «)». Ранее в передаваемых значениях не вырезалась одинарная кавычка, что позволяло выполнить свои SQL-конструкции через передачу значений вида «day’ FROM start_datetime)) OR 1=1;—» и «year’, start_datetime)) OR 1=1;—«. В следующем выпуске 4.1 планируется дополнительно усилить защиту методов извлечения и усечения дат, но внесённые в API изменения приведут к нарушению совместимости со сторонними бэкендами для работы с БД.

Източник: opennet.ru