Stackered

A função `django.contrib.auth.handlers.modwsgi.check password()`, utilizada para autenticação via `mod wsgi`, está suscetível a um ataque de temporização. Isso permite que atacantes remotos potencialmente enumerem usuários. Séries anteriores e não suportadas do Django, incluindo as versões 5.0.x, 4.1.x e 3.2.x, também podem ser afetadas.

Existe um problema no Django onde `FilteredRelation` está suscetível a injeção de SQL em aliases de coluna. Isso ocorre quando um dicionário manipulado é usado com expansão de dicionário, como os `**kwargs` passados para `QuerySet.annotate()` ou `QuerySet.alias()` no PostgreSQL. Aproximadamente 1,7 milhão de dispositivos potencialmente afetados foram identificados. O problema envolve o uso das funções `QuerySet.annotate()` e `QuerySet.alias()`, que podem ser exploradas através de aliases de coluna manipulados. O componente vulnerável é `FilteredRelation`.

The `django.utils.archive.extract()` function allows for potential directory traversal when handling archives with file paths that share a common prefix with the target directory. This issue affects the "startapp --template" and "startproject --template" commands.