CVE-2026-1287 in Django
Sumário
de VulDB • 26/05/2026
Foi identificada uma vulnerabilidade nas versões 6.0 anteriores a 6.0.2, 5.2 anteriores a 5.2.11 e 4.2 anteriores a 4.2.28. O `FilteredRelation` está sujeito a injeção de SQL em aliases de coluna através de caracteres de controle, utilizando um dicionário adequadamente elaborado, com expansão do dicionário, como os `**kwargs` passados para os métodos `QuerySet` `annotate()`, `aggregate()`, `extra()`, `values()`, `values_list()` e `alias()`. Anteriormente, as séries não suportadas do Django (como 5.0.x, 4.1.x e 3.2.x) não foram avaliadas e também podem estar afetadas. O Django gostaria de agradecer a Solomon Kebede por ter reportado esta questão.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.