2025年10月1日
Django 5.1.13 では 5.1.12 におけるセキュリティの問題のうち 深刻度 "high" 1件と深刻度 "low" 1件を修正しました。
QuerySet.annotate(), alias(), aggregate(), および extra() 利用時の SQL インジェクションの可能性¶QuerySet.annotate(), alias(), aggregate(), および extra() メソッドには、列エイリアスにおける SQL インジェクションの脆弱性が存在していました。これらのメソッドに渡される **kwargs に、適切に細工された辞書を辞書展開によって指定することで、攻撃が可能でした。（この問題は CVE 2022-28346 に対するフォローアップです。）
archive.extract() を介した部分的なディレクトリトラバーサルの可能性¶django.utils.archive.extract() 関数は、startapp --template および startproject --template において使用され、ターゲットディレクトリと共通の接頭辞を持つファイルパスを含むアーカイブを介して部分的なディレクトリトラバーサルを許していました（CVE 2021-3281 のフォローアップ）。
12月 04, 2025