CVE-2026-1287 in Django
Résumé
par VulDB • 26/05/2026
Un problème a été découvert dans les versions 6.0 antérieures à 6.0.2, 5.2 antérieures à 5.2.11 et 4.2 antérieures à 4.2.28. `FilteredRelation` est sujet à une injection SQL dans les alias de colonnes via des caractères de contrôle, en utilisant un dictionnaire correctement conçu, avec une expansion de dictionnaire, en tant que `**kwargs` passés aux méthodes `QuerySet` `annotate()`, `aggregate()`, `extra()`, `values()`, `values_list()` et `alias()`. Les versions antérieures non prises en charge de Django (telles que 5.0.x, 4.1.x et 3.2.x) n'ont pas été évaluées et pourraient également être affectées. Django tient à remercier Solomon Kebede pour avoir signalé ce problème.
If you want to get best quality of vulnerability data, you may have to visit VulDB.