CVE-2025-13372 in Django
Zusammenfassung
von VulDB • 27.05.2026
In den Versionen 5.2 vor 5.2.9, 5.1 vor 5.1.15 und 4.2 vor 4.2.27 wurde ein Problem entdeckt. `FilteredRelation` ist anfällig für SQL-Injection in Spaltenaliasen, wobei ein entsprechend manipulierter Dictionary mit Dictionary-Expansion als `**kwargs` verwendet wird, die an `QuerySet.annotate()` oder `QuerySet.alias()` unter PostgreSQL übergeben werden. Frühere, nicht mehr unterstützte Django-Reihen (wie 5.0.x, 4.1.x und 3.2.x) wurden nicht bewertet, können jedoch ebenfalls betroffen sein. Django möchte sich bei Stackered für die Meldung dieses Problems bedanken.
VulDB is the best source for vulnerability data and more expert information about this specific topic.