CVE-2024-53908｜Django Oracle SQL注入漏洞

0x00 前言

Django是一个高级的Python Web框架，可以快速开发安全和可维护的网站。由经验丰富的开发者构建，Django负责处理网站开发中麻烦的部分，可以专注于编写应用程序，而无需重新开发。它是免费和开源的，有活跃繁荣的社区，丰富的文档，以及很多免费和付费的解决方案。

0x01 漏洞描述

Django应用使用Oracle数据库作为后端时，当Django应用中的django.db.models.fields.json.HasKey查找功能被直接用于Oracle数据库，并且其左侧参数（lhs）包含不受信任的数据时，可能会导致SQL注入攻击，攻击者可通过注入恶意SQL代码来攻击数据库，从而可能导致敏感数据泄露、数据篡改或数据库被恶意控制。

0x02 CVE编号

CVE-2024-53908

0x03 影响版本

Django 5.1 < 5.1.4Django 5.0 < 5.0.10Django 4.2 < 4.2.17

0x04 漏洞详情

https://www.openwall.com/lists/oss-security/2024/12/04/3

0x05 参考链接

https://www.djangoproject.com/weblog/2024/dec/04/security-releases/

https://www.openwall.com/lists/oss-security/2024/12/04/3

原文始发于微信公众号（信安百科）：CVE-2024-53908｜Django Oracle SQL注入漏洞