CVE-2026-1287 in Django
الملخص
بحسب VulDB • 01/06/2026
تم اكتشاف مشكلة في الإصدارات 6.0 قبل 6.0.2، و5.2 قبل 5.2.11، و4.2 قبل 4.2.28. خيار `FilteredRelation` عرضة لإدخال SQL (SQL Injection) في أسماء الأعمدة المستعارة (column aliases) عبر أحرف التحكم، باستخدام قاموس مُعدّ بعناية، مع توسيع القاموس، كـ `**kwargs` الممرّرة إلى طرق `QuerySet` وهي `annotate()`، و`aggregate()`، و`extra()`، و`values()`، و`values_list()`، و`alias()`. لم يتم تقييم سلاسل Django غير المدعومة سابقاً (مثل 5.0.x، و4.1.x، و3.2.x) وقد تكون أيضاً متأثرة. تود Django أن تشكر سليمان كوبيدي على الإبلاغ عن هذه المشكلة.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.