Django在新版本中修复了SQL注入漏洞

Django最新版本中修补了一个高危漏洞。其中为CVE-2022-34265，潜在的SQL注入漏洞存在于Django的主分支以及版本4.1（当前处于测试阶段）、4.0和3.2中。

今天发布的新版本和补丁可以修复该漏洞。据估计，数以万计的网站，其中包括一些流行品牌，都选择了Django作为其Model-Template-View框架的选择。这就是导致需要针对此类错误升级或修补Django实例至关重要的原因。

新版本缓解了潜在的SQL注入

今天Django团队发布了Django4.0.6和Django3.2.14版本，解决了一个高严重性的SQL注入漏洞，并催促开发人员尽快升级或修补他们的Django实例。该漏洞分配给CVE-2022-34265，允许威胁参与者通过提供给Trunc(kind)和Extract(lookup_name)函数的参数来攻击Django Web应用程序。

“如果将不受信任的数据用作kind/lookup_name值，Trunc()和Extract()数据库函数就会受到SQL注入的影响，”该公告称。“将查找名称和种类选择限制到已知安全列表的应用程序不受影响。”换句话说，如果您的应用程序在将这些参数传递给Trunc和Extract函数之前执行某种类型的输入清理或转义，那么它就不会受到攻击。Aeye安全实验室的研究员Takuto Yoshikai因负责任地报告了该漏洞而受到赞誉。

补丁修复

对于那些无法升级到固定Django版本4.0.6或3.2.14的人，团队已经提供了可应用于现有受影响版本的补丁。

解决该问题的补丁已应用于 Django 的主分支以及4.1、4.0和3.2版本分支。补丁可以从以下变更集中获得：

在主分支上
在4.1发布分支上
在4.0发布分支上
在3.2发布分支上

“这个安全版本缓解了这个问题，但我们已经确定了与日期提取和截断相关的数据库API方法的改进，这将有利于在 [其] 最终版本之前添加到Django 4.1，”Django 团队进一步表示。

“这将影响使用Django 4.1候选版本1或更新版本的3rd方数据库后端，直到他们能够更新API更改。对于给您带来的不便，我们深表歉意。”