{"id":104593,"date":"2022-07-04T15:36:50","date_gmt":"2022-07-04T13:36:50","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-web-frejmvorke-django-kotoraya-mozhet-privesti-k-podstanovke-sql-koda"},"modified":"2022-07-04T15:36:50","modified_gmt":"2022-07-04T13:36:50","slug":"uyazvimost-v-web-frejmvorke-django-kotoraya-mozhet-privesti-k-podstanovke-sql-koda","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/uyazvimost-v-web-frejmvorke-django-kotoraya-mozhet-privesti-k-podstanovke-sql-koda","title":{"rendered":"Sicherheitsanf\u00e4lligkeit im Web-Framework Django, die zu SQL-Code-Injection f\u00fchren kann","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Es wurden Korrekturversionen des Web-Frameworks Django 4.0.6 und 3.2.14 ver\u00f6ffentlicht, die die Sicherheitsanf\u00e4lligkeit (CVE-2022-34265) beheben, die potenziell die Ausf\u00fchrung von benutzerdefiniertem SQL-Code erm\u00f6glicht. Das Problem betrifft Anwendungen, die nicht validierte externe Daten in den Parametern kind und lookup_name verwenden, die an die Funktionen Trunc(kind) und Extract(lookup_name) \u00fcbergeben werden. Programme, die in den Werten lookup_name und kind nur validierte Daten zulassen, sind nicht betroffen. <\/p>\n
Das Problem wurde durch das Verbot der Verwendung von Zeichen, die nicht Buchstaben, Zahlen, \u00ab-\u00bb, \u00ab_\u00bb, \u00ab(\u00bb und \u00ab)\u00bb sind, in den Argumenten der Funktionen Extract und Trunc blockiert. Fr\u00fchere \u00fcbergebene Werte hatten kein Auslassen des einfachen Anf\u00fchrungszeichens, was es erm\u00f6glichte, eigene SQL-Konstruktionen durch die \u00dcbermittlung von Werten wie \u00abday\u2019 FROM start_datetime)) OR 1=1;\u2014\u00bb und \u00abyear\u2019, start_datetime)) OR 1=1;\u2014\u00bb auszuf\u00fchren. In der n\u00e4chsten Version 4.1 ist geplant, den Schutz der Methoden zum Extrahieren und Truncieren von Daten weiter zu verst\u00e4rken, aber die \u00c4nderungen, die in die API eingef\u00fchrt wurden, werden zu einer Kompatibilit\u00e4tsst\u00f6rung mit externen Backends zur Arbeit mit Datenbanken f\u00fchren. \n Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"