CVE-2022-34265

漏洞摘要

该漏洞是由于在 Django 中处理用于日期数据的 Trunc 和 Extract 函数的参数时，执行 SQL 时字符串处理不当所致。按原样指定 Trunc 的 kind 参数或 Extract 的 lookup_name 参数中的请求参数，存在执行任意 SQL 语句的风险。通过利用此漏洞，第三方可以向数据库发送命令以访问未经授权的数据或删除数据库。