概要
Django 5.1.14未満、4.2.26未満、5.2.8未満において、QuerySet.filter()、QuerySet.exclude()、QuerySet.get() および Q() クラスの _connector 引数に、辞書展開を利用した細工された入力を渡すことでSQLインジェクションが可能な脆弱性が存在します。
CVSSベクトル
| 項目 | 値 |
|---|---|
| スコア | 9.1（Critical） |
| 攻撃元区分 | ネットワーク |
| 攻撃条件の複雑さ | 低 |
| 必要な特権 | なし |
| ユーザー関与 | 不要 |
影響を受けるソフトウェア
| 製品 | ベンダー | 影響バージョン |
|---|---|---|
| Django | Django Software Foundation | 5.2 〜 5.2.7 |
| Django | Django Software Foundation | 5.0 〜 5.1.13 |
| Django | Django Software Foundation | 〜 4.2.25 |
修正バージョンと回避策
- 修正バージョン: Django 5.2.8 / 5.1.14 / 4.2.26
- 辞書展開によるキーワード引数の渡し方を見直し、ユーザー入力がキー名に含まれないよう確認してください
関連リンク
データソース: NVD (NIST), GitHub Advisory Database, OSV (Google) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。