Solomon Kebede

المكون `FilteredRelation` معرض لخطر حقن SQL في أسماء مستعارة للأعمدة من خلال استخدام أحرف التحكم. يحدث هذا عند استخدام قاموس تم التلاعب به مع توسيع القاموس كـ `**kwargs` التي يتم تمريرها إلى طرق `annotate()` و`aggregate()` و`extra()` و`values()` و`values list()` و`alias()` الخاصة بـ `QuerySet`.

تتعرض الدالة `.QuerySet.order by()` لخطر حقن SQL عندما تحتوي أسماء الأعمدة المستعارة على نقاط، لا سيما عند استخدام قاموس مُعالج مع توسيع القاموس داخل `FilteredRelation`. وقد يحدث ذلك عند استخدام نفس الاسم المستعار. قد تتأثر أيضًا إصدارات Django السابقة وغير المدعومة، بما في ذلك الإصدارات 5.0.x و4.1.x و3.2.x.