CVE-2025-13372 in Django
Tóm tắt
Bởi VulDB • 21/05/2026
Đã phát hiện một vấn đề trong các phiên bản 5.2 trước 5.2.9, 5.1 trước 5.1.15 và 4.2 trước 4.2.27. `FilteredRelation` dễ bị tấn công SQL injection thông qua các bí danh cột (column aliases), bằng cách sử dụng một từ điển (dictionary) được tạo ra một cách phù hợp, cùng với việc mở rộng từ điển, dưới dạng `**kwargs` được truyền vào `QuerySet.annotate()` hoặc `QuerySet.alias()` trên PostgreSQL. Các chuỗi Django không còn được hỗ trợ trước đó (chẳng hạn như 5.0.x, 4.1.x và 3.2.x) chưa được đánh giá và cũng có thể bị ảnh hưởng. Django xin cảm ơn Stackered đã báo cáo vấn đề này.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.