Django-faille-CVE-2025-57833_test — Образовательный proof-of-concept, демонстрирующий SQL-инъекцию через динамические псевдонимы в методах annotate() и alias() Django (CVE-2025-57833). Включает уязвимый код, пример эксплуатации и анализ исправления. | Kitploit

Тестирование уязвимости SQL-инъекции через алиасы в Django

Определение: Что такое алиас?

Алиас — это имя, присваиваемое столбцу или результату агрегации в SQL-запросе.
В Django алиасы используются с методами annotate() или alias() для именования вычисляемых полей.

Пример:

from django.db.models import Count
books = Book.objects.annotate(book_count=Count('id'))

Здесь book_count — это алиас для результата Count('id').
Это позволяет получить читаемое имя для вычисляемого столбца.

Вставка данных через shell

Чтобы ускорить процесс, можно вставить данные через shell:

from myapp.models import Author, Book

a = Author.objects.create(name=" houchi pierre")
Book.objects.create(title="Les belles filles", author=a)
Book.objects.create(title="Les baux arcons", author=a)

exit()

import json
from django.db.models import Count
from django.http import JsonResponse
from .models import Author

def vulnerable_view(request):
    # On récupère l'alias depuis l'URL
    alias_param = request.GET.get("alias", "{}")
    try:
        # ⚠️ Vulnérable : évaluation directe des données utilisateurs
        alias_dict = json.loads(alias_param)
        for key, value in alias_dict.items():
            alias_dict[key] = eval(value)  # dangereux ! permet l'exécution de code arbitraire

        # Création de la queryset avec annotation dynamique
        qs = Author.objects.annotate(**alias_dict).values("name", *alias_dict.keys())

        # Retour des résultats
        return JsonResponse(list(qs), safe=False)

    except Exception as e:
        return JsonResponse({"error": str(e)})

from django.db import models

class Author(models.Model):
    name = models.CharField(max_length=100)
    def __str__(self):
        return self.name

class Book(models.Model):
    title = models.CharField(max_length=100)
    author = models.ForeignKey(Author, on_delete=models.CASCADE)
    def __str__(self):
        return self.title

Django-faille-CVE-2025-57833_test

Популярное

Контекст уязвимости

Пример уязвимого кода (`myapp/views.py`)

Пояснения:

Модели (`myapp/models.py`)

Пример эксплуатации до исправления

Исправление в Django 4.2.23

Безопасный пример

Рекомендации по предотвращению этой уязвимости

Заключение