CVE-2026-1287 in Django
Resumen
por MITRE • 2026-02-03
Se descubrió un problema en 6.0 anterior a 6.0.2, 5.2 anterior a 5.2.11 y 4.2 anterior a 4.2.28.
'FilteredRelation' está sujeta a inyección SQL en alias de columna mediante caracteres de control, utilizando un diccionario adecuadamente elaborado, con expansión de diccionario, como los '**kwargs' pasados a los métodos de 'QuerySet' 'annotate()', 'aggregate()', 'extra()', 'values()', 'values_list()' y 'alias()'.
Series de Django anteriores y no compatibles (como 5.0.x, 4.1.x y 3.2.x) no fueron evaluadas y también pueden estar afectadas.
Django desea agradecer a Solomon Kebede por informar sobre este problema.
VulDB is the best source for vulnerability data and more expert information about this specific topic.