地图 / CVE-2024-42005: Potential SQL injection in QuerySet.values() and values_list()

CVE-2024-42005: Potential SQL injection in QuerySet.values() and values_list()

SQL 注入 / Unlabeled / #2646493

厂商: Internet Bug Bounty
严重程度: 中危
赏金: $4,263
弱点: Unlabeled
研究员: @eyalsec
披露日期: 2024-08-24
资产: https://github.com/django
CVE: CVE-2024-42005

该报告还没有中文解读。

原文摘录

摘自原文（425 字符中的一小部分）

I found SQL injection in django. you can see my cve (CVE-2024-42005) here: https://www.djangoproject.com/weblog/2024/aug/06/security-releases/

默认不展示报告全文。以上为简短摘录，完整复现过程请阅读原文。版权归研究员与 Internet Bug Bounty 所有。

时间线

2024-08-08报告提交
2024-08-24公开披露

阅读 HackerOne 原文 ↗作者 @eyalsec · 版权归作者与 Internet Bug Bounty 所有

同类报告

SQL Injection Union BasedAutomattic · 2021-01-01 SQL injection at https://sea-web.gold.razer.com/demo-th/goto-e2p-web-api.php via Multiple ParametersRazer · — · $2,000 Pre-Auth Blind NoSQL Injection leading to Remote Code ExecutionRocket.Chat · 2021-05-18 C++: Support Pqxx connector to search for sql injections to PostgresGitHub Security Lab · — · $4,500 Post-Auth Blind NoSQL Injection in the users.list API leads to Remote Code ExecutionRocket.Chat · 2021-07-31 Golang : Add MongoDb NoSQL injection sinksGitHub Security Lab · —