Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2025-12461

Опубликовано: 01 окт. 2025
Источник: fstec
CVSS3: 7.1
CVSS2: 5.6
EPSS Низкий

Описание

Уязвимость методов QuerySet.annotate(), QuerySet.alias(), QuerySet.aggregate(), and QuerySet.extra() программной платформы для веб-приложений Django связана с непринятием мер по защите структуры запроса SQL. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать влияние на конфиденциальность и целостность защищаемой информации путем отправки специально сформированного SQL-запроса

Вендор

Django Software Foundation

Наименование ПО

Django

Версия ПО

от 4.2 до 4.2.25 (Django)
от 5.1 до 5.1.13 (Django)
от 5.2 до 5.2.7 (Django)
6.0 (Django)

Тип ПО

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

-

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 5,6)
Высокий уровень опасности (базовая оценка CVSS 3.1 составляет 7,1)

Возможные меры по устранению уязвимости

Установка обновлений из доверенных источников. В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.
Компенсирующие меры:
- использование средств межсетевого экранирования для ограничения удалённого доступа к уязвимому программному обеспечению;
- использование систем обнаружения и предотвращения вторжений для обнаружения (выявления, регистрации) и реагирования на попытки эксплуатации уязвимостей;
- использование средств резервного копирования для обеспечения возможности восстановления системы после эксплуатации уязвимости;
- ограничение доступа из внешних сетей (Интернет).
Использование рекомендаций:
https://docs.djangoproject.com/en/dev/releases/security/

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 3%
0.00017
Низкий

7.1 High

CVSS3

5.6 Medium

CVSS2

Связанные уязвимости

CVSS3: 7.1
ubuntu
около 1 месяца назад

An issue was discovered in Django 4.2 before 4.2.25, 5.1 before 5.1.13, and 5.2 before 5.2.7. QuerySet.annotate(), QuerySet.alias(), QuerySet.aggregate(), and QuerySet.extra() are subject to SQL injection in column aliases, when using a suitably crafted dictionary, with dictionary expansion, as the **kwargs passed to these methods (on MySQL and MariaDB).

CVSS3: 7.1
nvd
около 1 месяца назад

An issue was discovered in Django 4.2 before 4.2.25, 5.1 before 5.1.13, and 5.2 before 5.2.7. QuerySet.annotate(), QuerySet.alias(), QuerySet.aggregate(), and QuerySet.extra() are subject to SQL injection in column aliases, when using a suitably crafted dictionary, with dictionary expansion, as the **kwargs passed to these methods (on MySQL and MariaDB).

CVSS3: 7.1
debian
около 1 месяца назад

An issue was discovered in Django 4.2 before 4.2.25, 5.1 before 5.1.13 ...

CVSS3: 7.1
github
около 1 месяца назад

Django vulnerable to SQL injection in column aliases

suse-cvrf
около 1 месяца назад

Security update for python-Django

EPSS

Процентиль: 3%
0.00017
Низкий

7.1 High

CVSS3

5.6 Medium

CVSS2