PT-2024-9187 · Django+6 · Django+6
Seokchan Yoon
·
Publicado
2024-12-04
·
Atualizado
2026-01-03
·
CVE-2024-53908
CVSS v3.1
9.8
Crítica
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas:
Versões do Django 4.2 a 4.2.17
Versões do Django 5.0 a 5.0.10
Versões do Django 5.1 a 5.1.4
Descrição:
Foi descoberta uma vulnerabilidade no Django ao utilizar um banco de dados Oracle. O uso direto da consulta
django.db.models.fields.json.HasKey está sujeito a injeção de SQL se dados não confiáveis forem utilizados como valor lhs. Essa vulnerabilidade pode ser explorada por um invasor remoto para executar código SQL arbitrário ao enviar uma solicitação especialmente criada.Recomendações:
Para as versões 4.2 a 4.2.17 do Django, atualize para a versão 4.2.17 ou posterior.
Para as versões 5.0 a 5.0.10 do Django, atualize para a versão 5.0.10 ou posterior.
Para as versões 5.1 a 5.1.4 do Django, atualize para a versão 5.1.4 ou posterior.
Como solução alternativa temporária, considere evitar o uso da consulta
django.db.models.fields.json.HasKey com dados não confiáveis até que um patch seja aplicado.Correção
SQL injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Alt Linux
Debian
Django
Linuxmint
Red Os
Suse
Ubuntu