Django වෙබ් රාමුවේ නිවැරදි නිකුතු 4.0.6 සහ 3.2.14 ප්‍රකාශයට පත් කර ඇති අතර, ඔබේ SQL කේතය ආදේශ කිරීමට ඉඩ සලසන අවදානමක් (CVE-2022-34265) ස්ථාවර කර ඇත. මෙම ගැටළුව Trunc(kind) සහ Extract(lookup_name) ශ්‍රිත වෙත ලබාදුන් ආකාරයේ සහ lookup_name පරාමිති වල සත්‍යාපනය නොකළ බාහිර දත්ත භාවිතා කරන යෙදුම් වලට බලපායි. Lookup_name සහ කාරුණික අගයන් තුළ සත්‍යාපිත දත්ත පමණක් ඉඩ දෙන වැඩසටහන් අවදානමට ලක් නොවේ.
Extract සහ Trunc ශ්‍රිතවල තර්කවල අකුරු, ඉලක්කම්, “-“, “_”, “(” සහ “)” හැර වෙනත් අක්ෂර භාවිතය තහනම් කිරීමෙන් ගැටලුව අවහිර විය. මින් පෙර, සම්ප්‍රේෂණය කරන ලද අගයන් තුළ තනි උද්ධෘතය කපා හැර නොතිබූ අතර, එමඟින් “ආරම්භක_දින වේලාවෙන් දවස)) හෝ 1=1;—” සහ “වසර”, ආරම්භක_දින වේලාව වැනි අගයන් පසුකර ඔබේ SQL ඉදිකිරීම් ක්‍රියාත්මක කිරීමට හැකි විය. ) හෝ 1=1;-“. මීළඟ නිකුතුවේ 4.1 හි, දින නිස්සාරණය සහ කප්පාදු කිරීමේ ක්‍රමවල ආරක්ෂාව තවදුරටත් ශක්තිමත් කිරීමට සැලසුම් කර ඇත, නමුත් API වෙත සිදු කරන ලද වෙනස්කම් තෙවන පාර්ශවීය දත්ත සමුදා පසුබිම සමඟ අනුකූලතාව බිඳ වැටීමට තුඩු දෙනු ඇත.
මූලාශ්රය: opennet.ru