CVE-2025-64459
QuerySet 和 Q 对象中通过 _connector 关键字参数导致的潜在 SQL 注入
- 已发布
- 2025年11月5日
- 已更新
- 2026年2月26日
- 分配 CNA
- DSF
- 观察到的证据
- 2025年12月3日
初级CVSS
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N中 · 未来 30 天
- 百分位
- 97.3%
- 型号日期
- 2026年9月21日
EPSS 是统计估计，而不是确定性或影响衡量标准。将其与 CVSS、KEV 状态、暴露程度和您的环境相结合。
总结
在 5.1.14 之前的 5.1 版本、4.2.26 之前的 4.2 版本以及 5.2.8 之前的 5.2 版本中发现了一个问题。当使用精心构造的字典（通过字典扩展）作为 `_connector` 参数时，`QuerySet.filter()`、`QuerySet.exclude()` 和 `QuerySet.get()` 方法以及 `Q()` 类容易受到 SQL 注入攻击。较早的、不受支持的 Django 系列（例如 5.0.x、4.1.x 和 3.2.x）未经评估，也可能受到影响。Django 感谢 cyberstan 报告此问题。
来源
10漏洞：通过QuerySet和Q()关键字参数解包的SQL注入。CVE ID：CVE-2025-64459 严重性：严重（CVSS 9.1）受影响版本：Django 5.1 < 5.1.14, 4.2 < 4.2.26, 和 5.2 < 5.2.8。研究员：Cyberstan（华威大学）
NEO-SQLi — 利用 Django _connector SQL 注入漏洞 (CVE-2025-64459) | RedTeam Brasil 频道
一个用于 Django CVE-2025-64459 的自包含测试平台。演示了通过字典展开在 Docker 中进行 QuerySet.filter() 参数注入。
负责任的使用
仅在您拥有或有权测试的系统上使用漏洞信息。 Kitploit 链接到公共研究元数据，并且不存储漏洞代码或恶意负载。