Sårbarhet i webbramverket Django som kan leda till SQL-injektion

Korrigerande versioner av webbramverket Django 4.0.6 och 3.2.14 har publicerats, där en sårbarhet (CVE-2022-34265) åtgärdats, vilket potentiellt kan möjliggöra injektion av egen SQL-kod. Problemet påverkar applikationer som använder okontrollerade externa data i parametrarna kind och lookup_name, som överförs till funktionerna Trunc(kind) och Extract(lookup_name). Program som endast tillåter verifierade data i värdena lookup_name och kind påverkas inte av sårbarheten.

Problemet har blockerats genom att förbjuda användning av tecken som skiljer sig från bokstäver, siffror, «-», «_», «(» och «)» som argument i funktionerna Extract och Trunc. Tidigare skars inte enkla citat bort i de överförda värdena, vilket möjliggjorde att egna SQL-satser kunde skickas genom att överföra värden som «day’ FROM start_datetime)) OR 1=1;—» och «year’, start_datetime)) OR 1=1;—». I nästa version 4.1 planeras ytterligare förstärkning av skyddet för metoderna för att extrahera och avskära datum, men de förändringar som görs i API:t kommer att leda till inkompatibilitet med tredjeparts backend-lösningar för databashantering.

Källa: opennet.ru