Võrgu raamistikus Django esinev haavatavus, mis võib viia SQL-i koodi sisestamiseni

Välja on antud parandused Django veebiraamistikule versioonides 4.0.6 ja 3.2.14, mis lahendavad haavatavuse (CVE-2022-34265), mis võib potentsiaalselt võimaldada SQL-i koodi sisestamist. Probleem puudutab rakendusi, mis kasutavad kontrollimata väliseid andmeid argumentides kind ja lookup_name, mis edastatakse funktsioonidesse Trunc(kind) ja Extract(lookup_name). Programmid, mis lubavad lookup_name ja kind väärtustes vaid kontrollitud andmeid, ei ole haavatavad.

Probleem on blokeeritud, keelates funktsioonide Extract ja Trunc argumentides muude märkide kui tähed, numbrid, «-», «_», «(» ja «)» kasutamise. Varasemalt ei eemaldatud edastatavates väärtustes ühtegi tühja jutumärki, mis võimaldas SQL-konstruktsioone edastada väärtuste vormingus «day’ FROM start_datetime)) OR 1=1;—» ja «year’, start_datetime)) OR 1=1;—». Järgmises versioonis 4.1 plaanitakse veelgi tugevdada kuupäevade ekstraheerimise ja kärpimise meetodite kaitset, kuid API-sse tehtud muudatused toovad kaasa ühilduvuse probleemid kolmandate osapoolte andmebaasiga töötamiseks.

Allikas: opennet.ru