CVE-2024-53908

Nome do software vulnerável e versões afetadas:

Versões do Django 4.2 a 4.2.17

Versões do Django 5.0 a 5.0.10

Versões do Django 5.1 a 5.1.4

Descrição:

Foi descoberta uma vulnerabilidade no Django ao utilizar um banco de dados Oracle. O uso direto da consulta django.db.models.fields.json.HasKey está sujeito a injeção de SQL se dados não confiáveis forem utilizados como valor lhs. Essa vulnerabilidade pode ser explorada por um invasor remoto para executar código SQL arbitrário ao enviar uma solicitação especialmente criada.

Recomendações:

Para as versões 4.2 a 4.2.17 do Django, atualize para a versão 4.2.17 ou posterior.

Para as versões 5.0 a 5.0.10 do Django, atualize para a versão 5.0.10 ou posterior.

Para as versões 5.1 a 5.1.4 do Django, atualize para a versão 5.1.4 ou posterior.

Como solução alternativa temporária, considere evitar o uso da consulta django.db.models.fields.json.HasKey com dados não confiáveis até que um patch seja aplicado.