Veebiraami Django haavatavus, mis võib põhjustada SQL-koodi sisestamist.

Ilmunen on Django veebiraamistiku 4.0.6 ja 3.2.14 parandav väljalase, milles lahendatakse haavatavus (CVE-2022-34265), mis võiks potentsiaalselt lubada tema SQL-koodi asendamist. Probleem puudutab rakendusi, mis kasutavad kontrollimata väliseid andmeid parameetrites kind ja lookup_name, mis edastatakse Trunc(kind) ja Extract(lookup_name) funktsioonidesse. Programmid, mis lubavad lookup_name ja kind väärtustes ainult kontrollitud andmeid, ei kannata selle haavatavuse all.

Probleem on blokeeritud, keelates Extract ja Trunc funktsioonide argumendi kasutamisel tähemärke, mis ei ole tähed, numbrid, '–', '_', '(' ja ')'. Varasemates edastatud väärtustes ei eemaldatud ühekordset jutumärki, mis lubas SQL-konstruktsioone edastada väärtuste kaudu nagu 'day' FROM start_datetime)) OR 1=1;— ja 'year', start_datetime)) OR 1=1;—. Järgmises 4.1 väljalaskes on plaanis täiendavalt tugevdada kuupäeva väljatõmbamise ja lõikamise meetodite kaitset, kuid API-sse tehtud muudatused toovad kaasa ühilduvuse rikkumise kolmandate osapoolte andmebaasi tagaosadega.

Allikas: opennet.ru