CVE-2026-1287 in Django
Сводка
по VulDB • 26.05.2026
Обнаружена уязвимость в версиях 6.0 до 6.0.2, 5.2 до 5.2.11 и 4.2 до 4.2.28. Фильтр `FilteredRelation` подвержен SQL-инъекции в псевдонимах столбцов через управляющие символы, при использовании специально созданного словаря с расширением словаря, в качестве аргументов `**kwargs`, передаваемых методам `QuerySet` `annotate()`, `aggregate()`, `extra()`, `values()`, `values_list()` и `alias()`. Более ранние неподдерживаемые серии Django (такие как 5.0.x, 4.1.x и 3.2.x) не проверялись и также могут быть затронуты. Django выражает благодарность Соломону Кебеде за сообщение об этой уязвимости.
Be aware that VulDB is the high quality source for vulnerability data.