Django-faille-CVE-2025-57833_test — # Prova de conceito educacional demonstrando injeção de SQL por meio de aliases dinâmicos nos métodos annotate() e alias() do Django (CVE-2025-57833). Inclui código vulnerável, exemplo de exploração e análise da correção. | Kitploit

Teste da vulnerabilidade de injeção de SQL via alias no Django

Definição: O que é um alias?

Um alias é um nome dado a uma coluna ou a um resultado de agregação em uma consulta SQL.
No Django, os aliases são usados com os métodos annotate() ou alias() para nomear campos calculados.

Exemplo:

from django.db.models import Count
books = Book.objects.annotate(book_count=Count('id'))

Aqui, book_count é um alias para o resultado de Count('id').
Isso permite obter um nome legível para uma coluna calculada.

Inserção de dados via shell

Para ir rápido, podemos inserir os dados via shell:

from myapp.models import Author, Book

a = Author.objects.create(name=" houchi pierre")
Book.objects.create(title="Les belles filles", author=a)
Book.objects.create(title="Les baux arcons", author=a)

exit()

import json
from django.db.models import Count
from django.http import JsonResponse
from .models import Author

def vulnerable_view(request):
    # Recupera o alias da URL
    alias_param = request.GET.get("alias", "{}")
    try:
        # ⚠️ Vulnerável: avaliação direta dos dados do usuário
        alias_dict = json.loads(alias_param)
        for key, value in alias_dict.items():
            alias_dict[key] = eval(value)  # perigoso! permite a execução de código arbitrário

        # Criação da queryset com anotação dinâmica
        qs = Author.objects.annotate(**alias_dict).values("name", *alias_dict.keys())

        # Retorno dos resultados
        return JsonResponse(list(qs), safe=False)

    except Exception as e:
        return JsonResponse({"error": str(e)})

from django.db import models

class Author(models.Model):
    name = models.CharField(max_length=100)
    def __str__(self):
        return self.name

class Book(models.Model):
    title = models.CharField(max_length=100)
    author = models.ForeignKey(Author, on_delete=models.CASCADE)
    def __str__(self):
        return self.title

Django-faille-CVE-2025-57833_test

Mais Populares

Contexto da vulnerabilidade

Exemplo de código vulnerável (`myapp/views.py`)

Explicações:

Modelos (`myapp/models.py`)

Exemplo de exploração antes da correção

Correção no Django 4.2.23

Exemplo seguro

Boas práticas para evitar essa falha

Conclusão