PT-2024-5584 · Django+5 · Django+5
Eyal Gabay
·
Publicado
2024-08-06
·
Atualizado
2026-01-03
·
CVE-2024-42005
CVSS v2.0
10
Crítica
| Vetor | AV:N/AC:L/Au:N/C:C/I:C/A:C |
Nome do software vulnerável e versões afetadas
Versões do Django 4.2 a 4.2.14
Versões do Django 5.0 a 5.0.7
Descrição
O problema está relacionado à injeção de SQL nos métodos QuerySet.values() e values list() em modelos com um JSONField. Essa vulnerabilidade pode ser explorada passando-se uma chave de objeto JSON maliciosa como argumento, permitindo que um invasor execute consultas SQL arbitrárias. O número estimado de dispositivos potencialmente afetados em todo o mundo é superior a 5,4 milhões de serviços.
Recomendações
Para as versões do Django 4.2 a 4.2.14, atualize para o Django 4.2.15.
Para as versões do Django 5.0 a 5.0.7, atualize para o Django 5.0.8.
Como solução temporária, considere restringir o uso dos métodos QuerySet.values() e values list() em modelos com um JSONField até que um patch esteja disponível.
Exploit
Correção
SQL injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Alt Linux
Astra Linux
Debian
Django
Linuxmint
Ubuntu