0x00 前言
Django是一个高级的Python Web框架，可以快速开发安全和可维护的网站。由经验丰富的开发者构建，Django负责处理网站开发中麻烦的部分，可以专注于编写应用程序，而无需重新开发。它是免费和开源的，有活跃繁荣的社区，丰富的文档，以及很多免费和付费的解决方案。
0x01 漏洞描述
当使用 QuerySet.values() 或 values_list() 方法从数据库中提取数据，并且模型中包含JSONField 字段类型时，威胁者可以通过传递特制JSON 对象键（这些键名在生成的 SQL 查询中可能会被用作列别名）作为参数（*args）执行SQL 注入攻击，成功利用该漏洞可能导致执行任意SQL 命令，从而访问、修改或删除数据库中的数据。
0x02 CVE编号
CVE-2024-42005
0x03 影响版本
5.0 <= Django < 5.0.8
4.2 <= Django < 4.2.15
0x04 漏洞详情
https://www.djangoproject.com/weblog/2024/aug/06/security-releases/
https://seclists.org/oss-sec/2024/q3/146
0x05 参考链接
https://www.djangoproject.com/weblog/2024/aug/06/security-releases/
https://seclists.org/oss-sec/2024/q3/146
