An issue was discovered in Django 5.1 before 5.1.4, 5.0 before 5.0.10, and 4.2 before 4.2.17.
Оценка Noroxi
Приоритет: Наблюдать (оценка срочности 39/100)
- В отслеживаемых источниках (CISA KEV, Exploit-DB, Metasploit, Nuclei, GitHub) нет публичного эксплойта или записей об эксплуатации.
- Вероятность эксплуатации в ближайшие 30 дней: 1,4% (FIRST EPSS); выше, чем у 72,2% записей.
- Может быть вызвана любым, у кого есть доступ через интернет. Учётная запись или пароль не требуются. Действия пользователя не требуются. Особые условия не требуются; воспроизводится стабильно.
- По данным CISA атаку можно автоматизировать: цели находятся массовым сканированием.
- Исправленная версия: python-django (Debian:13) 3:4.2.17-1; python-Django (openSUSE:Tumbleweed) 5.1.4-1.1; python-Django4 (openSUSE:Tumbleweed) 4.2.17-1.1.
Пока низкий приоритет. Обновитесь до python-django (Debian:13) 3:4.2.17-1; python-Django (openSUSE:Tumbleweed) 5.1.4-1.1; python-Django4 (openSUSE:Tumbleweed) 4.2.17-1.1 или новее.
Формируется автоматически по данным записи: CVSS (NVD и CNA), CISA KEV и SSVC, FIRST EPSS, источники эксплойтов, исправленные версии. Как мы считаем
Первоисточники: NVD · CVE.org · FIRST EPSS
An issue was discovered in Django 5.1 before 5.1.4, 5.0 before 5.0.10, and 4.2 before 4.2.17. Direct usage of the django.db.models.fields.json.HasKey lookup, when an Oracle database is used, is subject to SQL injection if untrusted data is used as an lhs value. (Applications that use the jsonfield.has_key lookup via __ are unaffected.)
- Опубликовано
- 6 дек. 2024 г.
- Обновлено
- 17 июн. 2026 г.
- EPSS
- 1,4 % · 72-й процентиль
- CWE
- CWE-89
Инструменты для отчёта
Оценка срочности
39
Наблюдать
Пока низкий приоритет.
- CVSS
- 39 / 40 · 9.8 / 10
- CISA KEV
- 0 / 30 · Нет в списке
- EPSS
- 0 / 30 · 1,4 %
Решение CISA SSVC
- Эксплуатация
- нет
- Автоматизируемо
- да
- Техническое влияние
- полное
Vulnrichment: входные данные дерева решений CISA.
Узнайте, когда запись изменится
- Нет в KEV: эксплуатация в реальных атаках не зафиксирована
- Публичного эксплойта нет
- Исправление выпущено
Если что-то из этого изменится, сообщим в ежедневной сводке.
У вас WordPress? Проверьте сайт бесплатно в WP Lens
Анализ Noroxi
Что это значит для вашей инфраструктуры?
Оценка выше формируется автоматически по данным записи и не знает вашей среды. Наша команда проверит на ваших системах, действительно ли уязвимость эксплуатируема и какой меры достаточно.
Мы используем этот продукт, нужна помощьЗатронутые системы
Затронута ли ваша версия?
Выберите продукт и введите свою версию. Она сравнивается с диапазонами этой записи прямо в браузере и никуда не отправляется.
| Вендор | Продукт | CPE |
|---|---|---|
| djangoproject | django | cpe:2.3:a:djangoproject:django |
Затронутые версии
Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.
- djangoproject django4.2 и новее · до 4.2.17
- djangoproject django5.0 и новее · до 5.0.10
- djangoproject django5.1 и новее · до 5.1.4
Затронутые пакеты
Данные OSV и GitHub Advisory: экосистема, пакет и диапазон. Сопоставление SBOM использует эту таблицу.
| Экосистема | Пакет | Затронутый диапазон | Исправление |
|---|---|---|---|
| Debian:13 | python-django | до 3:4.2.17-1 | 3:4.2.17-1 |
| openSUSE:Tumbleweed | python-Django | до 5.1.4-1.1 | 5.1.4-1.1 |
| openSUSE:Tumbleweed | python-Django4 | до 4.2.17-1.1 | 4.2.17-1.1 |
| PyPI | django | с 4.2 · до 4.2.17 | 4.2.17 |
| PyPI | django | с 4.2.0 · до 4.2.17 | 4.2.17 |
| PyPI | django | с 5.0 · до 5.0.10 | 5.0.10 |
| PyPI | django | с 5.0.0 · до 5.0.10 | 5.0.10 |
| PyPI | django | с 5.1 · до 5.1.4 | 5.1.4 |
| PyPI | django | с 5.1.0 · до 5.1.4 | 5.1.4 |
| Red Hat:ansible_automation_platform_developer:2.4::el8 | python39-jinja2 | до 0:3.1.5-1.el8ap | 0:3.1.5-1.el8ap |
| Red Hat:ansible_automation_platform_developer:2.4::el8 | python3x-jinja2 | до 0:3.1.5-1.el8ap | 0:3.1.5-1.el8ap |
| Red Hat:ansible_automation_platform_developer:2.4::el9 | python-jinja2 | до 0:3.1.5-1.el9ap | 0:3.1.5-1.el9ap |
| Red Hat:ansible_automation_platform_developer:2.4::el9 | python3-jinja2 | до 0:3.1.5-1.el9ap | 0:3.1.5-1.el9ap |
| Red Hat:ansible_automation_platform:2.4::el8 | automation-controller-venv-tower | до 0:4.5.17-1.el8ap | 0:4.5.17-1.el8ap |
| Red Hat:ansible_automation_platform:2.4::el9 | automation-controller-venv-tower | до 0:4.5.17-1.el9ap | 0:4.5.17-1.el9ap |
| Red Hat:ansible_automation_platform:2.5::el8 | automation-controller-venv-tower | до 0:4.6.6-1.el8ap | 0:4.6.6-1.el8ap |
| Red Hat:ansible_automation_platform:2.5::el8 | automation-gateway-server | до 0:2.5.20250115-1.el8ap | 0:2.5.20250115-1.el8ap |
| Red Hat:ansible_automation_platform:2.5::el8 | python3.11-aiohttp | до 0:3.10.11-1.el8ap | 0:3.10.11-1.el8ap |
| Red Hat:ansible_automation_platform:2.5::el8 | python3.11-aiohttp-debuginfo | до 0:3.10.11-1.el8ap | 0:3.10.11-1.el8ap |
| Red Hat:ansible_automation_platform:2.5::el8 | python3.11-aiohttp-debugsource | до 0:3.10.11-1.el8ap | 0:3.10.11-1.el8ap |
| Red Hat:ansible_automation_platform:2.5::el9 | automation-controller-venv-tower | до 0:4.6.6-1.el9ap | 0:4.6.6-1.el9ap |
| Red Hat:ansible_automation_platform:2.5::el9 | automation-gateway-server | до 0:2.5.20250115-1.el9ap | 0:2.5.20250115-1.el9ap |
| Red Hat:ansible_automation_platform:2.5::el9 | python3.11-aiohttp | до 0:3.10.11-1.el9ap | 0:3.10.11-1.el9ap |
| Red Hat:ansible_automation_platform:2.5::el9 | python3.11-aiohttp-debuginfo | до 0:3.10.11-1.el9ap | 0:3.10.11-1.el9ap |
+3
Тот же продукт
djangoproject: все записиДругие записи с наивысшей оценкой для того же основного продукта.
- CVE-2022-34265An issue was discovered in Django 3.2 before 3.2.14 and 4.0 before 4.0.6.61На этой неделе
- CVE-2020-7471Django 1.11 before 1.11.28, 2.2 before 2.2.10, and 3.0 before 3.0.3 allows SQL Injection if untrusted data is used as a StringAgg delimiter 59В плане
- CVE-2019-19844Django before 1.11.27, 2.x before 2.2.9, and 3.x before 3.0.1 allows account takeover.55В плане
- CVE-2019-14234An issue was discovered in Django 1.11.x before 1.11.23, 2.1.x before 2.1.11, and 2.2.x before 2.2.4.53В плане
- CVE-2021-35042Django 3.1.x before 3.1.13 and 3.2.x before 3.2.5 allows QuerySet.order_by SQL injection if order_by is untrusted input from a client of a w52В плане
- CVE-2023-24580An issue was discovered in the Multipart Request Parser in Django 3.2 before 3.2.18, 4.0 before 4.0.10, and 4.1 before 4.1.7.49В плане
Исправление
На какую версию обновиться
Версии с исправлением по данным вендора, реестров пакетов и Microsoft. Перед обновлением сверьтесь с бюллетенем вендора.
| Продукт / пакет | Исправленная версия | Источник |
|---|---|---|
| debian:python-django | 3:4.2.17-1 · Debian:13 | Реестр пакетов (OSV) |
| opensuse:python-Django | 4.2.11-150600.3.12.1 · openSUSE:Leap 15.6 | Реестр пакетов (OSV) |
| opensuse:python-Django4 | 4.2.17-1.1 · openSUSE:Tumbleweed | Реестр пакетов (OSV) |
| PyPI:django | 4.2.17 | Реестр пакетов (OSV) |
| PyPI:django | 5.0.10 | Реестр пакетов (OSV) |
| PyPI:django | 5.1.4 | Реестр пакетов (OSV) |
| red hat:automation-controller-venv-tower | 0:4.6.6-1.el8ap · Red Hat:ansible_automation_platform:2.5::el8 | Реестр пакетов (OSV) |
| red hat:automation-gateway-server | 0:2.5.20250115-1.el8ap · Red Hat:ansible_automation_platform:2.5::el8 | Реестр пакетов (OSV) |
| red hat:python-jinja2 | 0:3.1.5-1.el9ap · Red Hat:ansible_automation_platform_developer:2.4::el9 | Реестр пакетов (OSV) |
| red hat:python3-jinja2 | 0:3.1.5-1.el9ap · Red Hat:ansible_automation_platform_developer:2.4::el9 | Реестр пакетов (OSV) |
| red hat:python3.11-aiohttp | 0:3.10.11-1.el8ap · Red Hat:ansible_automation_platform:2.5::el8 | Реестр пакетов (OSV) |
| red hat:python3.11-aiohttp-debuginfo | 0:3.10.11-1.el8ap · Red Hat:ansible_automation_platform:2.5::el8 | Реестр пакетов (OSV) |
| red hat:python3.11-aiohttp-debugsource | 0:3.10.11-1.el8ap · Red Hat:ansible_automation_platform:2.5::el8 | Реестр пакетов (OSV) |
| red hat:python39-jinja2 | 0:3.1.5-1.el8ap · Red Hat:ansible_automation_platform_developer:2.4::el8 | Реестр пакетов (OSV) |
| red hat:python3x-jinja2 | 0:3.1.5-1.el8ap · Red Hat:ansible_automation_platform_developer:2.4::el8 | Реестр пакетов (OSV) |
| suse:python-Django | 4.2.11-150600.3.12.1 · SUSE:Linux Enterprise Module for Package Hub 15 SP6 | Реестр пакетов (OSV) |
Статус эксплойта
Публичный эксплойт неизвестен
Публичный эксплойт пока не обнаружен. Это не значит, что вы в безопасности, лишь что порог чуть выше.
Контекст для исследователя
Для пентестеров и исследователей: профиль атаки, расхождение оценок, хронология, коммиты исправлений, авторы, кандидаты в варианты и цепочки, охват bug bounty. Всё выводится из имеющихся данных; без кода эксплойтов.
Хронология
От публикации до сегодня: proof of concept, модуль Metasploit, CISA KEV и запись об исправлении. Даты — как сообщают источники.
Кроме публикации датированных событий нет.
Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).
Ссылки на патчи и коммиты
Коммиты, PR и diff среди источников. Отправная точка для patch-diff и поиска вариантов; это исправления, не эксплойты.
Среди источников нет ссылок на коммит или PR.
Авторы
Все исследователиНашедшие, сообщившие и аналитики, названные в записи CNA. Нажмите имя, чтобы увидеть другие записи исследователя.
В записи CNA нет авторов.
Кандидаты в варианты
Тот же продукт, тот же класс уязвимости, в пределах 18 месяцев. Если патч не закрыл первопричину, родственная ошибка здесь.
- CVE-2025-64459с разницей 334 дн.Potential SQL injection via _connector keyword argument in QuerySet and Q objects42В плане
- CVE-2025-57833с разницей 271 дн.An issue was discovered in Django 4.2 before 4.2.24, 5.1 before 5.1.12, and 5.2 before 5.2.6.40В плане
- CVE-2025-59681с разницей 299 дн.An issue was discovered in Django 4.2 before 4.2.25, 5.1 before 5.1.13, and 5.2 before 5.2.7.39Наблюдать
- CVE-2024-42005с разницей 121 дн.An issue was discovered in Django 5.0 before 5.0.8 and 4.2 before 4.2.15.29Наблюдать
- CVE-2026-1207с разницей 424 дн.Potential SQL injection via raster lookups on PostGIS25Наблюдать
- CVE-2026-1312с разницей 424 дн.Potential SQL injection via QuerySet.order_by and FilteredRelation21Наблюдать
Кандидаты в цепочки
Обход аутентификации и уязвимость, требующая привилегий, в одном продукте и близко по времени: вместе они могут дать путь без аутентификации.
—
Охват bug bounty
Известной публичной программы нет.
Источник: bounty-targets-data (публичные списки HackerOne, Bugcrowd, Intigriti, YesWeHack).
Технические детали
Условия атаки
- Может быть вызвана любым, у кого есть доступ через интернет.
- Учётная запись или пароль не требуются.
- Действия пользователя не требуются.
- Особые условия не требуются; воспроизводится стабильно.
В случае успеха
- Конфиденциальность
- высокое · данные могут быть прочитаны
- Целостность
- высокое · данные или конфигурация могут быть изменены
- Доступность
- высокое · работа сервиса может быть нарушена
- Вектор атаки
- Сеть
- Сложность атаки
- Низкая
- Требуемые привилегии
- Не требуются
- Взаимодействие с пользователем
- Не требуется
- Область действия
- Не изменяется
- Влияние на конфиденциальность
- Высокое
- Влияние на целостность
- Высокое
- Влияние на доступность
- Высокое
Класс уязвимости (CWE)
CWE-89 · Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection')Вектор CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
nvd-secondary
Первопричина
Текст запроса формируется конкатенацией с пользовательским вводом. СУБД не может определить, где заканчиваются данные и начинается команда.
Ошибка в коде
Весь класс CWE-89Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.
Уязвимый код
const owner = req.query.owner;const rows = await db.query( "SELECT * FROM files WHERE owner = '" + owner + "'");Исправленный код
const owner = req.query.owner;const rows = await db.query( "SELECT * FROM files WHERE owner = $1", [owner]);Контекст атаки
Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.
Шаблоны атак (CAPEC)
- Command Line Execution through SQL InjectionCAPEC-108вероятность: Low · Very High
- Object Relational Mapping InjectionCAPEC-109вероятность: Low · High
- SQL Injection through SOAP Parameter TamperingCAPEC-110вероятность: High · Very High
- Expanding Control over the Operating System from the DatabaseCAPEC-470Very High
- SQL InjectionCAPEC-66вероятность: High · High
- Blind SQL InjectionCAPEC-7вероятность: High · High
Техники ATT&CK
—
Журнал изменений
- Исправление✗ → ✓
Для отслеживаемых записей эти изменения приходят и как уведомления. →
Источники
Показать все источники (ещё 2)Свернуть
Рекомендации вендоров и официальные записи. Ссылки на эксплойты/PoC намеренно исключены.