CVE-2025-13372 - PostgreSQL 数据库上 FilteredRelation 列别名存在潜在的 SQL 注入风险

概述

CVSS 3.1 评分：4.3（中危）

漏洞描述

在 Django 5.2（5.2.9 之前）、5.1（5.1.15 之前）和 4.2（4.2.27 之前）版本中发现了一个安全问题。 当在 PostgreSQL 数据库上使用精心构造的字典（通过字典扩展）作为传递给 QuerySet.annotate() 或 QuerySet.alias() 的 **kwargs 参数时，FilteredRelation 的列别名容易受到 SQL 注入攻击。 先前未受支持的 Django 系列（例如 5.0.x、4.1.x 和 3.2.x）未经过评估，可能同样受到影响。 Django 项目感谢 Stackered 报告此问题。

发布日期： 2025年12月2日 下午4:15 最后修改日期： 2025年12月2日 下午5:16 可远程利用： 是

受影响产品

以下产品受到 CVE-2025-13372 漏洞的影响。即使 cvefeed.io 知晓受影响产品的确切版本，下表也未展示该信息。

总计受影响供应商：1 | 产品：1

CVSS 评分

通用漏洞评分系统是评估软件和系统中漏洞严重性的标准化框架。我们为每个 CVE 收集并展示来自不同来源的 CVSS 分数。

解决方案

更新 Django 到已修复的版本，以修复列别名中的 SQL 注入漏洞。

• 更新 Django 到版本 5.2.9 或更高。
• 更新 Django 到版本 5.1.15 或更高。
• 更新 Django 到版本 4.2.27 或更高。

相关咨询、解决方案和工具参考

此处，您将找到精心策划的外部链接列表，这些链接提供与 CVE-2025-13372 相关的深入信息、实用解决方案和有价值的工具。

CWE - 常见弱点枚举

CVE 标识漏洞的具体实例，而 CWE 则对可能导致漏洞的常见缺陷或弱点进行分类。CVE-2025-13372 与以下 CWE 相关联：

• CWE-89：SQL 命令中使用的特殊元素的不当中和（‘SQL 注入’）

常见攻击模式枚举与分类 (CAPEC)

常见攻击模式枚举与分类 (CAPEC) 存储了攻击模式，这些模式描述了攻击者利用 CVE-2025-13372 弱点所采用的常见属性和方法。

• CAPEC-7: 盲 SQL 注入
• CAPEC-66: SQL 注入
• CAPEC-108: 通过 SQL 注入执行命令行
• CAPEC-109: 对象关系映射注入
• CAPEC-110: 通过 SOAP 参数篡改进行 SQL 注入
• CAPEC-470: 从数据库扩展对操作系统的控制

漏洞历史记录

下表列出了对 CVE-2025-13372 漏洞随时间所做的更改。漏洞历史记录详细信息有助于理解漏洞的演变，并识别可能影响漏洞严重性、可利用性或其他特征的最新更改。

漏洞评分详情

CVSS 3.1

• 基础 CVSS 分数：4.3