CVE-2025-64459

إصدارات Django من 5.1 إلى 5.1.13

إصدارات Django من 4.2 إلى 4.2.25

إصدارات Django من 5.2 إلى 5.2.7

إصدارات Django 5.0.x والإصدارات الأقدم

إصدارات Django 4.1.x والإصدارات الأقدم

إصدارات Django 3.2.x والإصدارات الأقدم

توجد مشكلة في طرق QuerySet.filter() وQuerySet.exclude() وQuerySet.get()، وكذلك في فئة Q()، حيث تكون عرضة لحقن SQL. يحدث هذا عند استخدام قاموس مصمم بشكل مناسب مع توسيع القاموس كحجة connector. يمكن للمهاجم استغلال هذه الثغرة عن طريق تمرير معلمات الاستعلام الداخلية عبر سلاسل استعلام URL أو بيانات POST التي يتم تمريرها بعد ذلك مباشرةً إلى هذه الطرق. وقد يؤدي ذلك إلى التلاعب بمنطق قاعدة البيانات، مثل تغيير منطق «AND» إلى «OR»، مما قد يؤدي إلى تجاوز المصادقة، وتصعيد الامتيازات، والكشف غير المصرح به عن المعلومات المحمية أو تعديلها.

قم بتحديث إصدارات Django من 5.1 إلى 5.1.13 إلى الإصدار 5.1.14.

قم بتحديث إصدارات Django من 4.2 إلى 4.2.25 إلى الإصدار 4.2.26.

قم بتحديث إصدارات Django من 5.2 إلى 5.2.7 إلى الإصدار 5.2.8.

تجنب تمرير البيانات التي يتحكم فيها المستخدم، مثل request.GET.dict()، مباشرةً إلى أساليب QuerySet عبر توسيع القاموس.

قم بتنفيذ قائمة بيضاء لمعلمات التصفية المسموح بها أو استخدم تعيين الحقول الصريح بدلاً من توسيع القاموس.

استخدم نماذج Django للتحقق من صحة بيانات الإدخال.

كإجراء تخفيفي مؤقت، قم بتقييد أو مراجعة استخدام connector و` n