Er zijn correcties gepubliceerd voor de webframeworks Django 4.0.6 en 3.2.14, waarin een kwetsbaarheid (CVE-2022-34265) is verholpen die potentieel de uitvoering van eigen SQL-code mogelijk maakt. Het probleem heeft betrekking op applicaties die onbevestigde externe gegevens gebruiken in de parameters kind en lookup_naam, die worden doorgegeven aan de functies Trunc(kind) en Extract(lookup_naam). Programma's die alleen gevalideerde gegevens in de waarden lookup_naam en kind toestaan, worden niet door deze kwetsbaarheid beïnvloed.
Het probleem is opgelost door het verbod op het gebruik van tekens die niet tot letters, cijfers, «-«, «_», «(» en «)» behoren in de argumenten van de functies Extract en Trunc. Eerder werd de enkelvoudige aanhalingstekens in de doorgegeven waarden niet verwijderd, wat het mogelijk maakte om eigen SQL-constructies uit te voeren door waarden door te geven zoals «day’ FROM start_datetime)) OR 1=1;—» en «year’, start_datetime)) OR 1=1;—». In de volgende release 4.1 is het de bedoeling om de beveiliging van de extractie- en truncatiemethoden van datums verder te versterken, maar de aangebrachte wijzigingen in de API zullen leiden tot incompatibiliteit met externe backends voor databasewerking.
Bron: opennet.ru
