Django Weblog: Django-Sicherheitsupdates veröffentlicht: 5.2.7, 5.1.13 und 4.2.25
Das Django-Team veröffentlicht neue Versionen, um kritische Sicherheitslücken zu beheben. Diese Veröffentlichungen umfassen Django 5.2.7, 5.1.13 und 4.2.25. Ein Problem mit hoher Schweregrad, CVE-2025-59681, beinhaltet eine potenzielle SQL-Injection-Schwachstelle in bestimmten QuerySet-Methoden auf MySQL und MariaDB. Diese Injection könnte durch manipulierte Spaltenaliase erfolgen. Die zweite Schwachstelle, CVE-2025-59682, ist ein Problem mit geringem Schweregrad im Zusammenhang mit teilweiser Verzeichnisdurchquerung. Dies könnte durch die Funktion archive.extract() ausgenutzt werden, wenn benutzerdefinierte Vorlagen für startapp und startproject verwendet werden. Patches wurden auf die betroffenen Django-Zweige angewendet. Benutzern wird dringend empfohlen, so bald wie möglich auf die neu veröffentlichten Versionen zu aktualisieren. Die Django-Sicherheitsrichtlinie beschreibt, wie potenzielle Probleme vertraulich gemeldet werden können. Die PGP-Schlüssel-ID für diese Veröffentlichung ist Jacob Walls: 131403F4D16D8DC7.
archive.extract()ausgenutzt werden, wenn benutzerdefinierte Vorlagen fürstartappundstartprojectverwendet werden. Patches wurden auf die betroffenen Django-Zweige angewendet. Benutzern wird dringend empfohlen, so bald wie möglich auf die neu veröffentlichten Versionen zu aktualisieren. Die Django-Sicherheitsrichtlinie beschreibt, wie potenzielle Probleme vertraulich gemeldet werden können. Die PGP-Schlüssel-ID für diese Veröffentlichung ist Jacob Walls: 131403F4D16D8DC7.