Megjelentek a Django 4.0.6 és 3.2.14 web-keretrendszer javító kiadásai, amelyekben kijavították a (CVE-2022-34265) sérülékenységet, amely potenciálisan lehetővé teszi a SQL-kód behelyettesítését. A probléma azokat az alkalmazásokat érinti, amelyek ellenőrizetlen külső adatokat használnak a kind és lookup_name paraméterekben, amelyeket a Trunc(kind) és Extract(lookup_name) funkciókba adnak meg. Azok a programok, amelyek a lookup_name és kind értékeiben csupán ellenőrzött adatokat engednek meg, nem érintettek a sérülékenységben.
A problémát úgy blokkolták, hogy megtiltották olyan karakterek használatát az Extract és Trunc funkciók argumentumai között, amelyek eltérnek a betűktől, számoktól, a „-”, „_”, „(” és „)”. Korábban az átkonvertált értékek közül nem lett eltávolítva az egyes idézőjel, ami lehetővé tette saját SQL-szerkezetek végrehajtását az olyan értékek átadásával, mint a „day' FROM start_datetime)) OR 1=1;—” és „year', start_datetime)) OR 1=1;—”. A következő, 4.1-es verzióban tervezik a dátumok lekérdezési és levágási módszereinek védelmének további megerősítését, de az API-ban végrehajtott módosítások a harmadik féltől származó adatbázis-kezelők közötti kompatibilitás megszakadásához vezetnek.
Forrás: opennet.ru
