[Python知识库]Django JSONField/HStoreField SQL注入漏洞（CVE-2019-14234）

产品样子

?

Django在2019年8月1日发布了一个安全更新，修复了在JSONField、HStoreField两个模型字段中存在的SQL注入漏洞。

参考链接：

• Django security releases issued: 2.2.4, 2.1.11 and 1.11.23 | Weblog | Django

• Django JSONField SQL注入漏洞（CVE-2019-14234）分析与影响 | 离别歌

该漏洞需要开发者使用了JSONField/HStoreField，且用户可控queryset查询时的键名，在键名的位置注入SQL语句。Django自带的后台应用Django-Admin中就存在这样的写法，我们可以直接借助它来复现漏洞。

漏洞复现

首先登陆后台http://your-ip:8000/admin/。

登陆后台后，进入模型Collection的管理页面http://your-ip:8000/admin/vuln/collection/

然后在GET参数中构造detail__a'b=123提交，其中detail是模型Collection中的JSONField：

http://your-ip:8000/admin/vuln/collection/?detail__a%27b=123

可见，单引号已注入成功，SQL语句报错：

?