Django-faille-CVE-2025-57833_test — Django의 annotate() 및 alias() 메서드에서 동적 별칭을 통한 SQL 인젝션(CVE-2025-57833)을 보여주는 교육용 개념 증명(PoC)입니다. 취약 코드, 악용 예제, 수정 분석을 포함합니다. | Kitploit

정의: 별칭이란?

별칭은 SQL 쿼리에서 열이나 집계 결과에 부여된 이름입니다.
Django에서 별칭은 annotate() 또는 alias() 메서드와 함께 사용되어 계산된 필드에 이름을 지정합니다.

예시:

from django.db.models import Count
books = Book.objects.annotate(book_count=Count('id'))

여기서 book_count는 Count('id') 결과의 별칭입니다.
계산된 열에 대해 읽기 쉬운 이름을 검색할 수 있습니다.

셸을 통한 데이터 삽입

빠르게 진행하려면 셸을 통해 데이터를 삽입할 수 있습니다:

python manage.py shell

실행할 명령어:

from myapp.models import Author, Book

a = Author.objects.create(name=" houchi pierre")
Book.objects.create(title="Les belles filles", author=a)
Book.objects.create(title="Les baux arcons", author=a)

exit()

import json
from django.db.models import Count
from django.http import JsonResponse
from .models import Author

def vulnerable_view(request):
    # URL에서 별칭을 가져옴
    alias_param = request.GET.get("alias", "{}")
    try:
        # ⚠️ 취약: 사용자 데이터의 직접 평가
        alias_dict = json.loads(alias_param)
        for key, value in alias_dict.items():
            alias_dict[key] = eval(value)  # 위험! 임의 코드 실행 허용

        # 동적 어노테이션으로 쿼리셋 생성
        qs = Author.objects.annotate(**alias_dict).values("name", *alias_dict.keys())

        # 결과 반환
        return JsonResponse(list(qs), safe=False)

    except Exception as e:
        return JsonResponse({"error": str(e)})

from django.db import models

class Author(models.Model):
    name = models.CharField(max_length=100)
    def __str__(self):
        return self.name

class Book(models.Model):
    title = models.CharField(max_length=100)
    author = models.ForeignKey(Author, on_delete=models.CASCADE)
    def __str__(self):
        return self.title

Django-faille-CVE-2025-57833_test

인기

취약점 배경

취약한 코드 예제 (`myapp/views.py`)

설명:

모델 (`myapp/models.py`)

수정 전 익스플로잇 예제

Django 4.2.23의 수정 사항

안전한 예제

이 결함을 방지하기 위한 모범 사례

결론