Django ဝဘ်ဘောင် 4.0.6 နှင့် 3.2.14 ၏ မှန်ကန်သော ထုတ်ဝေမှုများသည် သင့် SQL ကုဒ်ကို အစားထိုးရန် ခွင့်ပြုနိုင်သည့် အားနည်းချက် (CVE-2022-34265) ကို ပြင်ဆင်ပေးထားပါသည်။ Trunc(kind) နှင့် Extract(lookup_name) လုပ်ဆောင်ချက်များသို့ ပေးပို့သော အမျိုးအစားနှင့် lookup_name ကန့်သတ်ချက်များရှိ အတည်မပြုရသေးသော ပြင်ပဒေတာကို အသုံးပြုသည့် အပလီကေးရှင်းများ သည် ပြဿနာအပေါ် သက်ရောက်မှုရှိပါသည်။ lookup_name နှင့် အမျိုးအစားတန်ဖိုးများတွင် အတည်ပြုထားသော ဒေတာများကိုသာ ခွင့်ပြုသော ပရိုဂရမ်များသည် အားနည်းချက်ကြောင့် ထိခိုက်မည်မဟုတ်ပါ။
Extract နှင့် Trunc လုပ်ဆောင်ချက်များ၏ ငြင်းခုံမှုများတွင် အက္ခရာများ၊ နံပါတ်များ၊ “-“၊ “_”၊ “(” နှင့် “)” မှလွဲ၍ အခြားအက္ခရာများအသုံးပြုခြင်းကို တားမြစ်ခြင်းဖြင့် ပြဿနာကို ပိတ်ဆို့ထားပါသည်။ ယခင်က၊ တစ်ခုတည်းသောကိုးကားချက်ကို ဖြတ်တောက်ခြင်းမပြုခဲ့ဘဲ၊ "day" မှ start_datetime)) သို့မဟုတ် 1=1;—" နှင့် "နှစ်"၊ start_datetime ကဲ့သို့သော တန်ဖိုးများကိုဖြတ်သန်းခြင်းဖြင့် သင်၏ SQL တည်ဆောက်မှုများကို လုပ်ဆောင်နိုင်စေခဲ့သည်။ ) သို့မဟုတ် 1=1;—“။ လာမည့်ထွက်ရှိမှု 4.1 တွင်၊ ရက်စွဲထုတ်ယူခြင်းနှင့် ဖြတ်တောက်ခြင်းနည်းလမ်းများ၏ အကာအကွယ်ကို ပိုမိုခိုင်မာစေရန် စီစဉ်ထားသော်လည်း API တွင် ပြုလုပ်ထားသော အပြောင်းအလဲများသည် ပြင်ပကုမ္ပဏီဒေတာဘေ့စ်နောက်ကွယ်တွင် တွဲသုံးနိုင်မှုကို ပြိုကွဲသွားစေမည်ဖြစ်သည်။
source: opennet.ru