Django-CVE-2025-64459-Testbed

Um ambiente de testes autocontido para Django CVE-2025-64459. Demonstra injeção de parâmetros em QuerySet.filter() via expansão de dicionário usando Docker.

Sobre a Vulnerabilidade

CVE-2025-64459 é uma vulnerabilidade de alta gravidade no Django (especificamente versões < 5.1.14) que permite injeção de parâmetros em QuerySet.filter() quando a entrada do usuário é passada diretamente via expansão de dicionário (por exemplo, **request.GET).

Atacantes podem injetar parâmetros internos como _connector para manipular a lógica da consulta (por exemplo, alterando AND para OR), potencialmente contornando filtros e acessando dados não autorizados.

Teste com o Alvo Vulnerável

Se você tem a CLI do Alvo Vulnerável instalada ou deseja executá-la a partir do código fonte:

1. Clone o repositório do Alvo Vulnerável:

   root@kitploit:~

   git clone https://github.com/HappyHackingSpace/vulnerable-target
   cd vulnerable-target
   

2. Execute o laboratório usando o ID:

   root@kitploit:~

   go run cmd/vt/main.go start --id vt-2025-64459
   

3. b00m!

   

4. com Nuclei

   

🛠️ Uso e Exploração

⚠️ Aviso Legal

Este repositório é apenas para fins educacionais e de pesquisa. Não use isto em sistemas que você não possui ou para os quais não tenha permissão explícita para testar. O autor não se responsabiliza por qualquer uso indevido desta informação.