ะะฟัะฑะปะธะบะพะฒะฐะฝั ะบะพััะตะบัะธััััะธะต ะฒัะฟััะบะธ web-ััะตะนะผะฒะพัะบะฐ Django 4.0.6 ะธ 3.2.14, ะฒ ะบะพัะพััั ััััะฐะฝะตะฝะฐ ััะทะฒะธะผะพััั (CVE-2022-34265), ะฟะพัะตะฝัะธะฐะปัะฝะพ ะฟะพะทะฒะพะปัััะฐั ะฒัะฟะพะปะฝะธัั ะฟะพะดััะฐะฝะพะฒะบั ัะฒะพะตะณะพ SQL-ะบะพะดะฐ. ะัะพะฑะปะตะผะฐ ะทะฐััะฐะณะธะฒะฐะตั ะฟัะธะปะพะถะตะฝะธั, ะธัะฟะพะปัะทัััะธะต ะฝะตะฟัะพะฒะตัะตะฝะฝัะต ะฒะฝะตัะฝะธะต ะดะฐะฝะฝัะต ะฒ ะฟะฐัะฐะผะตััะฐั kind ะธ lookup_name, ะฟะตัะตะดะฐะฒะฐะตะผัั ะฒ ััะฝะบัะธะธ Trunc(kind) ะธ Extract(lookup_name). ะัะพะณัะฐะผะผั, ะบะพัะพััะต ะดะพะฟััะบะฐัั ะฒ ะทะฝะฐัะตะฝะธัั lookup_name ะธ kind ัะพะปัะบะพ ะฟัะพะฒะตัะตะฝะฝัะต ะดะฐะฝะฝัะต ััะทะฒะธะผะพััั ะฝะต ะทะฐััะฐะณะธะฒะฐะตั.
ะัะพะฑะปะตะผะฐ ะฑะปะพะบะธัะพะฒะฐะฝะฐ ัะตัะตะท ะทะฐะฟัะตั ะธัะฟะพะปัะทะพะฒะฐะฝะธั ะฒ ะฐัะณัะผะตะฝัะฐั
ััะฝะบัะธะน Extract ะธ Trunc ัะธะผะฒะพะปะพะฒ ะพัะปะธัะฝัั
ะพั ะฑัะบะฒ, ัะธัั, ยซ-ยซ, ยซ_ยป, ยซ(ยป ะธ ยซ)ยป. ะ ะฐะฝะตะต ะฒ ะฟะตัะตะดะฐะฒะฐะตะผัั
ะทะฝะฐัะตะฝะธัั
ะฝะต ะฒััะตะทะฐะปะฐัั ะพะดะธะฝะฐัะฝะฐั ะบะฐะฒััะบะฐ, ััะพ ะฟะพะทะฒะพะปัะปะพ ะฒัะฟะพะปะฝะธัั ัะฒะพะธ SQL-ะบะพะฝััััะบัะธะธ ัะตัะตะท ะฟะตัะตะดะฐัั ะทะฝะฐัะตะฝะธะน ะฒะธะดะฐ ยซdayโ FROM start_datetime)) OR 1=1;โยป ะธ ยซyearโ, start_datetime)) OR 1=1;โยซ. ะ ัะปะตะดัััะตะผ ะฒัะฟััะบะต 4.1 ะฟะปะฐะฝะธััะตััั ะดะพะฟะพะปะฝะธัะตะปัะฝะพ ััะธะปะธัั ะทะฐัะธัั ะผะตัะพะดะพะฒ ะธะทะฒะปะตัะตะฝะธั ะธ ััะตัะตะฝะธั ะดะฐั, ะฝะพ ะฒะฝะตััะฝะฝัะต ะฒ API ะธะทะผะตะฝะตะฝะธั ะฟัะธะฒะตะดัั ะบ ะฝะฐัััะตะฝะธั ัะพะฒะผะตััะธะผะพััะธ ัะพ ััะพัะพะฝะฝะธะผะธ ะฑัะบะตะฝะดะฐะผะธ ะดะปั ัะฐะฑะพัั ั ะะ.
เจธเจฐเฉเจค: opennet.ru