CVE-2025-57833

Django FilteredRelation Alias SQL注入漏洞CVE-2025-57833 Django时隔一年爆出来的SQL注入漏洞，大概一看大概是别名引起的注入（毕竟别名是无法预编译的 ） 该漏洞影响 Django 框架中的 FilteredRelation 功能，当使用 QuerySet.annotate 或 QuerySet.alias方法，并通过 Python 的字典扩展 kwargs 提供列别名时，存在 SQL 注入风险。这是由于对字典键（即列别名）未进行充分验证，导致攻击者可构造恶意字典注入不受限制的 SQL 语句 该漏洞的影响范围为 Django 4.2 之前...