CVE-2020-9402

Django 1.11 before 1.11.29, 2.2 before 2.2.11, and 3.0 before 3.0.4 allows SQL Injection if untrusted data is used as a tolerance parameter

CVSS 3.1SCORE

N/A/ 10.0

Опубликовано

5 марта 2020 г.

Обновлено

4 августа 2024 г.

В атаках

Не зафиксировано

Публичный PoC

Отсутствует

Анализ подготовлен:CVE Futuretools Threat Intelligence

Верификация: MITRE CVE List · CISA KEV · NIST NVD

ПАТЧ ДОСТУПЕН: ВЕРСИЯ 1.11.29, 2.2.11, 3.0.4

Обновите Django до версий 1.11.29, 2.2.11, 3.0.4 или более поздних веток.

01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ

SQL-инъекция в GIS-функциях и агрегатах Django при работе с СУБД Oracle через параметр tolerance.

02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ

Отсутствие корректного экранирования входящих данных в параметре tolerance для GIS-функций и агрегатов при формировании SQL-запросов к СУБД Oracle.

03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ

Выполнение произвольных SQL-команд в целевой базе данных Oracle от имени приложения при передаче недоверенных значений в параметр tolerance.

04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ

——

>= 1.11➔Fix: 1.11.29

——

>= 2.2➔Fix: 2.2.11

——

>= 3.0➔Fix: 3.0.4

——

>= 1.11➔Fix: 1.11.29

——

>= 2.2➔Fix: 2.2.11

——

>= 3.0➔Fix: 3.0.4

05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (10)

docs.djangoproject.comhttps://docs.djangoproject.com/en/3.0/releases/security/
groups.google.comhttps://groups.google.com/forum/#%21topic/django-announce/fLUh_pOaKrY
www.djangoproject.comhttps://www.djangoproject.com/weblog/2020/mar/04/security-releases/
usn.ubuntu.comhttps://usn.ubuntu.com/4296-1/
security.netapp.comhttps://security.netapp.com/advisory/ntap-20200327-0004/
security.gentoo.orghttps://security.gentoo.org/glsa/202004-17
www.debian.orghttps://www.debian.org/security/2020/dsa-4705
lists.fedoraproject.orghttps://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/4A2AP4T7RKPBCLTI2NNQG3T6MINDUUMZ/
lists.fedoraproject.orghttps://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/UZMN2NKAGTFE3YKMNM2JVJG7R2W7LLHY/
lists.debian.orghttps://lists.debian.org/debian-lts-announce/2022/05/msg00035.html

06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК

Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:

Библиографическая ссылка (Plain text)

CVE Futuretools (2026). Анализ уязвимости CVE-2020-9402: Django 1.11 before 1.11.29, 2.2 before 2.2.11, and 3.0 before 3.0.4 allows SQL Injection if untrusted data is used as a tolerance parameter . URL: https://cve.futuretools.ru/cve/CVE-2020-9402

BibTeX формат (LaTeX)

@misc{cve_futuretools_cve_2020_9402,
  title = {{CVE-2020-9402: Django 1.11 before 1.11.29, 2.2 before 2.2.11, and 3.0 before 3.0.4 allows SQL Injection if untrusted data is used as a tolerance parameter }},
  author = {{CVE Futuretools}},
  year = {2026},
  howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2020-9402}},
  note = {Оперативный инженерный анализ киберугроз}
}