CVE-2025-57833

Exploitation SQL dans Django grâce à FilteredRelation

Une faille de sécurité identifiée sous la référence CVE-2025-57833 impacte certaines versions de Django. Elle réside dans la composante FilteredRelation du système ORM (Object-Relational Mapping) de Django.

La vulnérabilité permet, par l’intermédiaire d’un dictionnaire spécialement conçu passé en argument aux méthodes QuerySet.annotate() ou QuerySet.alias(), l’injection de code SQL malveillant. Ceci peut mener à une altération des requêtes adressées à la base de données, ouvrant la voie à un accès ou une modification non autorisés des données.

• Points clés :
  • Vulnérabilité de type injection SQL.
  • Affecte le composant FilteredRelation de l’ORM Django.
  • Exploitable via des arguments spécifiques aux méthodes annotate() et alias() des QuerySets.
  • Risque d’accès ou de modification non autorisés des données.
• Vulnérabilités :
  • CVE-2025-57833
• Recommandations :
  • Mettre à jour Django vers une version corrigée :
    • Django 4.2 au-delà de la version 4.2.24.
    • Django 5.1 au-delà de la version 5.1.12.
    • Django 5.2 au-delà de la version 5.2.6.

Source