Stackered

تتعرض الدالة `django.contrib.auth.handlers.modwsgi.check password()`، المستخدمة للمصادقة عبر `mod wsgi`، لهجوم استغلال الفاصل الزمني. وهذا يتيح للمهاجمين عن بُعد إمكانية إجراء عملية تعداد للمستخدمين. كما قد تتأثر الإصدارات السابقة وغير المدعومة من Django، بما في ذلك الإصدارات 5.0.x و4.1.x و3.2.x.

توجد مشكلة في Django حيث تكون `FilteredRelation` عرضة لحقن SQL في أسماء مستعارة للأعمدة. يحدث هذا عند استخدام قاموس مُعالج مع توسيع القاموس، مثل `**kwargs` التي يتم تمريرها إلى `QuerySet.annotate()` أو `QuerySet.alias()` في PostgreSQL. تم تحديد ما يقارب 1.7 مليون جهاز قد تكون متأثرة. تتعلق المشكلة باستخدام الدالتين `QuerySet.annotate()` و`QuerySet.alias()`، اللتين يمكن استغلالهما من خلال أسماء مستعارة للأعمدة تم التلاعب بها. المكون المعرض للخطر هو `FilteredRelation`.

تسمح الدالة `django.utils.archive.extract()` باحتمال حدوث تجاوز الدليل عند معالجة الأرشيفات التي تحتوي على مسارات ملفات تشترك في بادئة مشتركة مع الدليل الهدف. تؤثر هذه المشكلة على الأمرين ”startapp --template“ و”startproject --template“.