Part01
高危漏洞曝光
Django Web框架中的一个高危SQL注入漏洞目前正在真实攻击中被积极利用，引发了在PostGIS后端部署上运行地理空间应用程序的组织的担忧。
该漏洞编号为CVE-2026-1207，影响Django的GIS模块，多个威胁情报来源已确认该漏洞正在被积极利用。Django安全团队最初于2026年2月披露了该问题，作为涵盖多个受支持版本的多项漏洞的更大范围安全更新的一部分。尽管多个漏洞被归类为低至中等严重性，但CVE-2026-1207因其能够直接导致数据库遭入侵的潜力而尤为突出。
该问题特别影响使用GeoDjango与PostGIS后端的应用程序，这种配置常用于基于位置的服务、地图平台和数据驱动分析系统。漏洞在于Django处理栅格字段查询的方式，尤其是对波段索引参数的处理。对用户提供输入的验证不充分，允许攻击者注入恶意SQL查询。通过构造操控“band”等参数的请求，威胁行为者可以触发非预期的数据库查询，可能导致敏感数据泄露或修改后端记录。
Part02
Django SQL注入漏洞被利用
安全研究人员观察到，利用尝试在公开披露后不久即开始。CrowdSec的遥测数据显示，攻击最初于2026年2月下旬被检测到，此后一直以稳定速度持续。与大规模自动化扫描活动不同，这些攻击看起来更具针对性，专注于识别配置了PostGIS支持的Django实例。这表明攻击者优先攻击高价值系统，而非无差别地利用。
典型攻击场景涉及向处理栅格查询的端点发送特制HTTP请求。例如，攻击者可能操控请求参数来注入SQL片段，迫使数据库返回错误或泄露结构化信息。随着时间的推移，这种技术可以精炼以提取敏感记录或提升应用程序环境内的访问权限。尽管该漏洞需要特定配置才能利用，但对受影响系统的影响是显著的。
成功利用可使攻击者绕过应用程序逻辑，访问机密数据集或更改存储的信息。鉴于Django在企业级和政府应用程序中的广泛使用，即使有限的暴露面也带来重大风险。
Part03
作为回应，Django团队发布了包括Django6.0.2、5.2.11和4.2.28在内的补丁版本。这些更新不仅修复了SQL注入缺陷，还解决了其他问题，包括拒绝服务条件和身份验证弱点。强烈建议运行旧版本的组织立即升级以降低风险。
包括加拿大网络安全中心在内的网络安全机构已发布公告，警告CVE-2026-1207正在野外被积极利用。虽然该漏洞尚未正式加入主要被利用漏洞目录，但其已被观察到的活动表明威胁行为者更广泛采用的可能性很高。
安全专家建议检查应用程序日志中异常的查询模式，特别是涉及栅格参数或意外数据库错误的请求。确保正确的输入验证、在生产环境中禁用调试配置以及部署Web应用程序防火墙可以进一步降低风险。
积极利用的出现突显了现代Web框架中反复出现的挑战：即使是成熟的平台，也可能在专用模块中引入边缘案例漏洞。对于依赖Django GIS功能的组织来说，快速修补和主动监控仍然是防御不断演变的攻击活动的关键。
参考来源：
Django SQL Injection Vulnerability Actively Exploited in the Wild
https://cybersecuritynews.com/django-sql-injection-vulnerability-exploited/
