最近,Django正式发布了一条安全公告,该公告宣布了一个潜在的SQL注入漏洞(CVE-2020-7471),该漏洞已通过StringAgg(分隔符)加以利用。
攻击者可以将构造函数分隔符传递给django.contrib.postgres.aggregates.StringAgg聚合函数,以绕过转义并注入恶意SQL语句。
受影响的版本
- Django master branch
- Django 3.0
- Django 2.2
- Django 1.11
解决方案
Django正式发布了一个新版本来修复上述漏洞。 受影响的用户会尽快更新到Django的master分支以及3.0、2.2和1.11版本分支
如果使用pip安装Django,则可以使用以下命令进行操作: