Django-faille-CVE-2025-57833_test — Prueba de concepto educativa que demuestra la inyección SQL a través de alias dinámicos en los métodos annotate() y alias() de Django (CVE-2025-57833). Incluye código vulnerable, ejemplo de explotación y análisis de la corrección. | Kitploit

Prueba de la vulnerabilidad de inyección SQL mediante alias en Django

Definición: ¿Qué es un alias?

Un alias es un nombre dado a una columna o a un resultado de agregación en una consulta SQL.
En Django, los alias se utilizan con los métodos annotate() o alias() para nombrar campos calculados.

Ejemplo:

from django.db.models import Count
books = Book.objects.annotate(book_count=Count('id'))

Aquí, book_count es un alias para el resultado de Count('id').
Esto permite obtener un nombre legible para una columna calculada.

Inserción de datos mediante el shell

from myapp.models import Author, Book

a = Author.objects.create(name=" houchi pierre")
Book.objects.create(title="Les belles filles", author=a)
Book.objects.create(title="Les baux arcons", author=a)

exit()

import json
from django.db.models import Count
from django.http import JsonResponse
from .models import Author

def vulnerable_view(request):
    # On récupère l'alias depuis l'URL
    alias_param = request.GET.get("alias", "{}")
    try:
        # ⚠️ Vulnérable : évaluation directe des données utilisateurs
        alias_dict = json.loads(alias_param)
        for key, value in alias_dict.items():
            alias_dict[key] = eval(value)  # dangereux ! permet l'exécution de code arbitraire

        # Création de la queryset avec annotation dynamique
        qs = Author.objects.annotate(**alias_dict).values("name", *alias_dict.keys())

        # Retour des résultats
        return JsonResponse(list(qs), safe=False)

    except Exception as e:
        return JsonResponse({"error": str(e)})

from django.db import models

class Author(models.Model):
    name = models.CharField(max_length=100)
    def __str__(self):
        return self.name

class Book(models.Model):
    title = models.CharField(max_length=100)
    author = models.ForeignKey(Author, on_delete=models.CASCADE)
    def __str__(self):
        return self.title

Django-faille-CVE-2025-57833_test

Más Populares

Contexto de la vulnerabilidad

Ejemplo de código vulnerable (`myapp/views.py`)

Explicaciones:

Modelos (`myapp/models.py`)

Ejemplo de explotación antes de la corrección

Corrección en Django 4.2.23

Ejemplo seguro

Buenas prácticas para evitar esta falla

Conclusión