Korrigerende versioner af webframeworket Django 4.0.6 og 3.2.14 er blevet offentliggjort, hvor en sårbarhed (CVE-2022-34265) er blevet rettet, som potentielt kunne tillade indsættelse af egen SQL-kode. Problemet påvirker applikationer, der bruger ubekræftede eksterne data i parametrene kind og lookup_name, der sendes til funktionerne Trunc(kind) og Extract(lookup_name). Programmer, der kun tillader kontrollerede data i værdierne lookup_name og kind, er ikke berørt af sårbarheden.
Problemet er blevet løst ved at forbyde brugen af tegn, der ikke er bogstaver, tal, "-", "_", "(" og ")" i argumenterne for funktionerne Extract og Trunc. Tidligere blev enkelt citationstegn ikke fjernet fra de sendte værdier, hvilket gjorde det muligt at udføre egne SQL-strukturer ved at sende værdier som "day’ FROM start_datetime)) OR 1=1;—" og "year’, start_datetime)) OR 1=1;—". I den næste version 4.1 planlægges det at styrke beskyttelsen af metoderne til at udtrække og trimme datoer, men ændringerne i API'en vil føre til brud på kompatibiliteten med tredjeparts backend-løsninger til databaser.
Kilde: opennet.ru
