Django 2.2.28发行说明

April 11, 2022

Django 2.2.28修复了2.2.27中严重程度“高”的两个安全问题。

CVE-2022-28346：潜在的SQL注入 QuerySet.annotate() ， aggregate() ，以及 extra()

QuerySet.annotate() ， aggregate() ，以及 extra() 方法受到列别名中的SQL注入的影响，使用适当构造的字典，并带有字典扩展，因为 **kwargs 传递给这些方法。

CVE-2022-28347：潜在的SQL注入通过 QuerySet.explain(**options) 关于PostgreSQL

QuerySet.explain() 方法受到选项名称中的SQL注入的影响，该方法使用适当构造的字典并带有字典扩展，因为 **options 争论。

« previous | up | next »