DjVul_StringAgg

Django CVE-2020-7471 SQLi

CVE-2020-7471：通过 StringAgg(delimiter) 可能导致的 SQL 注入 django.contrib.postgres.aggregates.StringAgg 聚合函数存在 SQL 注入漏洞，攻击者可使用精心构造的 delimiter 进行利用。

运行

python manage.py makemigrations

python manage.py migrate

python manage.py runserver

参考

• https://www.djangoproject.com/weblog/2020/feb/03/security-releases/
• https://code.djangoproject.com/ticket/30315
• https://docs.djangoproject.com/zh-hans/2.2/_modules/django/contrib/postgres/aggregates/general/