概要
Django 4.2.24未満、5.1.12未満、5.2.6未満において、FilteredRelation が QuerySet.annotate() や QuerySet.alias() に **kwargs として渡される辞書展開を通じてSQLインジェクションが可能な脆弱性が存在します（CVE-2025-57833）。
攻撃複雑度は高（AC:H）ですが、成功した場合はデータベースの機密性・完全性・可用性すべてに影響します。認証不要でリモートから攻撃できる点が深刻です。
CVSSベクトル
| 要素 | 値 | 説明 |
|---|---|---|
| Attack Vector | Network | ネットワーク経由 |
| Attack Complexity | High | 特定条件が必要 |
| Privileges Required | None | 認証不要 |
| User Interaction | None | ユーザー操作不要 |
| Scope | Unchanged | |
| Confidentiality | High | |
| Integrity | High | |
| Availability | High |
CVSS 3.1 Base Score: 8.1 (High)
ベクトル: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
影響を受けるソフトウェア
| 製品 | ベンダー | 影響バージョン |
|---|---|---|
| Django | Django Software Foundation | 4.2.x < 4.2.24 |
| Django | Django Software Foundation | 5.1.x < 5.1.12 |
| Django | Django Software Foundation | 5.2.x < 5.2.6 |
修正バージョンと回避策
修正バージョン:
- Django 4.2.24 以降
- Django 5.1.12 以降
- Django 5.2.6 以降（最新の5.2系の場合は 5.2.14 以降を推奨）
回避策: FilteredRelation と annotate()/alias() を組み合わせて使用する箇所で、外部入力を **kwargs 展開として渡さないようにアプリケーションコードを見直してください。パッチ適用が最も確実な対策です。
関連リンク
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。