Django · Django · CVE-2024-42005
**Nome do software vulnerável e versões afetadas**
Versões do Django 4.2 a 4.2.14
Versões do Django 5.0 a 5.0.7
**Descrição**
O problema está relacionado à injeção de SQL nos métodos QuerySet.values() e values list() em modelos com um JSONField. Essa vulnerabilidade pode ser explorada passando-se uma chave de objeto JSON maliciosa como argumento, permitindo que um invasor execute consultas SQL arbitrárias. O número estimado de dispositivos potencialmente afetados em todo o mundo é superior a 5,4 milhões de serviços.
**Recomendações**
Para as versões do Django 4.2 a 4.2.14, atualize para o Django 4.2.15.
Para as versões do Django 5.0 a 5.0.7, atualize para o Django 5.0.8.
Como solução temporária, considere restringir o uso dos métodos QuerySet.values() e values list() em modelos com um JSONField até que um patch esteja disponível.