搜索

[14425] 2019-08-03_DjangoJSONField，HStoreFieldSQL注入漏洞

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-18
2019-08-03_DjangoJSONField，HStoreFieldSQL注入漏洞 D j a n g o   J S O N F i e l d ， H S t o r e F i e l d   S Q L 注 入 漏 洞 斗 象 智 能 安 全 平 台   F r e e B u f   2 0 1 9 - 0 8 - 0 3 一 、 前 言 一 、 前 言 D j a n g o 是 一 个 开 放 源 代 码 的 是 一 个 开 放 源 代 码 的 W e b 应 用 框 架 ， 由 应 用 框 架 ， 由 P y t h o n 写 成 。 采 用 了 写 成 。 采 用 了 M T V 的 框 架 模 式 ， 即 模 型 的 框 架 模 式 ， 即 模 型 M ， 视 图 ， 视 图 V 和 模 版 和 模 版 T 。 它 最 初 是 被 开 发 来 用 于 管 理 劳 伦 斯 出 版 集 团 旗 下 的 一 些 以 新 闻 内 容 为 主 的 网 站 的 ， 即 是 。 它 最 初 是 被 开 发 来 用 于 管 理 劳 伦 斯 出 版 集 团 旗 下 的 一 些 以 新 闻 内 容 为 主 的 网 站 的 ， 即 是 C M S （ 内 容 管 理 系 （ 内 容 管 理 系 统 ） 软 件 ， 并 于 统 ） 软 件 ， 并 于 2 0 0 5 年 年 7 月 在 月 在 B S D 许 可 证 下 发 布 。 许 可 证 下 发 布 。 二 、 漏 洞 简 介 二 、 漏 洞 简 介 D j a n g o   在 2 0 1 9 年 8 月 2 日 进 行 了 安 全 补 丁 更 新 ,   修 复 了 4 个 C V E ,   其 中 包 含 一 个 S Q L 注 入 漏 洞 。 三 、 漏 洞 危 害 三 、 漏 洞 危 害 经 斗 象 安 全 应 急 响 应 团 队 分 析 ， 攻 击 者 可 以 通 过 精 心 构 造 的 请 求 包 攻 击 使 用 了 脆 弱 版 本 D j a n g o 框 架 的 服 务 器 ， 攻 击 成 功 将 会 导 致 S Q L 注 入 漏 洞 ， 泄 露 网 站 数 据 信 息 。 四 、 影 响 范 围 四 、 影 响 范 围 产 品 产 品 D j a n g o 版 本 版 本 D j a n g o   2 . 2 . x   <   2 . 2 . 4 D j a n g o   2 . 1 . x   <   2 . 1 . 1 1 D j a n g o   1 . 1 1 . x   <   1 . 1 1 . 2 3 版 本 版 本
D j a n g o 五 、 漏 洞 复 现 五 、 漏 洞 复 现 暂 无 六 、 修 复 方 案 六 、 修 复 方 案 1 . 升 级 D j a n g o 版 本 到 2 . 2 . 4 ， 2 . 1 . 1 1 ， 1 . 1 1 . 2 3 2 . W A F 中 添 加 拦 截 S Q L 攻 击 的 规 则 七 、 参 考 七 、 参 考 h t t p s : / / w w w . d j a n g o p r o j e c t . c o m / w e b l o g / 2 0 1 9 / a u g / 0 1 / s e c u r i t y - r e l e a s e s / 以 上 是 本 次 高 危 漏 洞 预 警 的 相 关 信 息 ， 如 有 任 何 疑 问 或 需 要 更 多 支 持 ， 可 通 过 以 下 方 式 与 我 们 取 得 联 系 。 联 系 电 话 ： 联 系 电 话 ： 4 0 0 - 1 5 6 - 9 8 6 6 E m a i l ： ： h e l p @ t o p h a n t . c o m 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理