SQL Injection in Django

NGHIÊM TRỌNG 9.8CVE-2022-28347 · BIT-django-2022-28347 · GHSA-w24h-v9qh-8gxj · Công bố 12/04/2022 · cập nhật 17/06/2026

Tóm tắt nhanh

CVE-2022-28347 là lỗ hổng mức NGHIÊM TRỌNG (CVSS 9.8) ảnh hưởng django, django (djangoproject).
Xác suất bị khai thác trong 30 ngày tới (EPSS): 2.9%, cao hơn 87.1% các lỗ hổng khác.
Cách xử lý: cập nhật lên 2.2.28, 3.2.13, 4.0.4 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
django PyPI	`≥ 2.2, < 2.2.28≥ 3.2, < 3.2.13≥ 4.0, < 4.0.4`	`2.2.283.2.134.0.4`
django djangoproject	`≥ 2.2, < 2.2.28≥ 3.2, < 3.2.13≥ 4.0, < 4.0.4`	`2.2.283.2.134.0.4`

Mô tả

A SQL injection issue was discovered in QuerySet.explain() in Django 2.2 before 2.2.28, 3.2 before 3.2.13, and 4.0 before 4.0.4. This occurs by passing a crafted dictionary (with dictionary expansion) as the **options argument, and placing the injection payload in an option name.

Mô tả của NVD

A SQL injection issue was discovered in QuerySet.explain() in Django 2.2 before 2.2.28, 3.2 before 3.2.13, and 4.0 before 4.0.4. This occurs by passing a crafted dictionary (with dictionary expansion) as the **options argument, and placing the injection payload in an option name.