CVE-2026-1287 in Django
Riassunto
di VulDB • 20/06/2026
È stato rilevato un problema nelle versioni precedenti alla 6.0.2 della serie 6.0, nelle versioni precedenti alla 5.2.11 della serie 5.2 e nelle versioni precedenti alla 4.2.28 della serie 4.2. `FilteredRelation` è soggetto a SQL injection negli alias di colonna tramite caratteri di controllo, utilizzando un dizionario opportunamente manipolato con espansione del dizionario, come i parametri `**kwargs` passati ai metodi `QuerySet` `annotate()`, `aggregate()`, `extra()`, `values()`, `values_list()` e `alias()`. Le versioni precedenti non più supportate di Django (come 5.0.x, 4.1.x e 3.2.x) non sono state valutate ma potrebbero essere anch'esse interessate. Django desidera ringraziare Solomon Kebede per aver segnalato questo problema.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.