[BUG]Django JSONField存在SQL注入漏洞（CVE-2024-42005）

[mcyaixia]

联系方式

[email protected]

MaxKB 版本

1.4

问题描述

Django 是开源的Web应用框架。在受影响的版本中，QuerySet.values和 values_list 方法存在 SQL 注入漏洞。该漏洞影响具有 JSONField 字段的模型，攻击者可构造恶意的 JSON 对象键作为参数（*args）形成恶意的列别名（如：injected_name" from "expressions_company"; -）进行 SQL 注入，窃取或修改服务器敏感信息。

重现步骤

项目中多处使用了JSONField字段

期待的正确结果

Django升级版本解决此安全漏洞

相关日志输出

No response

附加信息

No response

[baixin513]

感谢反馈，本项目没有使用这俩函数，且在最新分支已经升级，待1.5.0版本发布。