CVE-2025-64459

요약

An issue was discovered in 5.1 before 5.1.14, 4.2 before 4.2.26, and 5.2 before 5.2.8. The methods `QuerySet.filter()`, `QuerySet.exclude()`, and `QuerySet.get()`, and the class `Q()`, are subject to SQL injection when using a suitably crafted dictionary, with dictionary expansion, as the `_connector` argument. Earlier, unsupported Django series (such as 5.0.x, 4.1.x, and 3.2.x) were not evaluated and may also be affected. Django would like to thank cyberstan for reporting this issue. 5.1(5.1.14 미만), 4.2(4.2.26 미만), 5.2(5.2.8 미만) 버전에서 문제가 발견되었습니다. `QuerySet.filter()`, `QuerySet.exclude()`, `QuerySet.get()` 메서드와 `Q()` 클래스는 `_connector` 인수로 적절히 조작된 사전(dictionary)을 사전 확장(dictionary expansion)과 함께 사용할 때 SQL 인젝션에 취약합니다. 이전의 지원이 종료된 Django 시리즈(예: 5.0.x, 4.1.x, 3.2.x)는 평가되지 않았으며 영향을 받을 수도 있습니다. Django는 이 문제를 보고한 cyberstan에게 감사를 표합니다.

• CVE-2025-64459-PocPoC

  취약점: QuerySet 및 Q() 키워드 인자 언패킹을 통한 SQL 인젝션. CVE ID: CVE-2025-64459 심각도: 치명적 (CVSS 9.1) 영향을 받는 버전: Django 5.1 < 5.1.14, 4.2 < 4.2.26, and 5.2 < 5.2.8. 연구자: Cyberstan (University of Warwick)

• RedTeamBrasil-CVE-2025-64459익스플로잇

  NEO-SQLi — Django _connector SQL Injection (CVE-2025-64459) 익스플로잇 | RedTeam Brasil 채널