CVE-2025-64459
Mis à jour :
Vulnérabilité dans Django : Injection SQL via QuerySet
Une faille critique de type injection SQL, référencée CVE-2025-64459, a été identifiée dans le framework web Python Django. Elle touche les méthodes filter(), exclude(), get() des QuerySet et la classe Q(). Le défaut survient lors de l’utilisation d’un dictionnaire créé avec une expansion de dictionnaire comme argument pour _connector.
Les attaquants peuvent exploiter cette faiblesse en insérant des commandes SQL malveillantes via la manipulation de l’argument _connector. Les conséquences incluent un accès non autorisé à la base de données, la modification de données ou la divulgation d’informations sensibles.
Versions affectées :
- Django 5.1 antérieures à 5.1.14
- Django 4.2 antérieures à 4.2.26
- Django 5.2 antérieures à 5.2.8
Les versions plus anciennes et non prises en charge (comme 5.0.x, 4.1.x, 3.2.x) pourraient également être concernées.
Recommandations :
Il est impératif de mettre à jour Django vers les versions corrigées dès que possible pour atténuer ce risque.