A equipe de desenvolvimento lançou oficialmente atualizações de segurança essenciais para solucionar duas vulnerabilidades significativas encontradas na popular estrutura da web.
Esses problemas variam de gravidade alta a moderada. Eles poderiam permitir que invasores comprometessem a integridade do banco de dados ou travassem servidores por esgotamento de recursos.
A falha mais crítica, rastreada como CVE-2025-13372, é uma vulnerabilidade de injeção SQL de alta gravidade que afeta projetos que usam PostgreSQL. O problema está na classe FilteredRelation, especificamente em como ela lida com aliases de coluna.
Os invasores podem explorar isso criando um dicionário específico (usando expansão de dicionário) passado para QuerySet.annotate() ou QuerySet.alias(). Se for bem-sucedida, essa manipulação permitirá que código SQL malicioso seja injetado na consulta do banco de dados.
A segunda vulnerabilidade, CVE-2025-64460, é um problema de gravidade moderada envolvendo o serializador XML.
Django descobriu que o método django.core.serializers.xml_serializer. getInnerText() sofre de problemas de complexidade algorítmica.
ID CVETipo de vulnerabilidadeSeveridadeCVE-2025-13372Injeção SQLAltaCVE-2025-64460Negação de serviço (DoS)Moderado
Quando um aplicativo processa entrada XML especialmente criada, o serializador concatena cadeias repetidamente à medida que coleta nós de texto.
Django lançou atualizações de segurança 5.2.9, 5.1.15 e 4.2.27, e os desenvolvedores são fortemente aconselhados a atualizar imediatamente para evitar possíveis ataques.
Esse processo recursivo pode levar a um tempo de computação “superlinear”, fazendo com que o uso da CPU e da memória do servidor aumente.
Um invasor remoto pode usar isso para desencadear um ataque de negação de serviço (DoS), travando efetivamente o serviço ou fazendo com que ele pare de responder.
Essas vulnerabilidades afetam todas as versões suportadas do Django, incluindo o branch principal e o próximo Django 6.0 (atualmente em status de release candidate).
Os desenvolvedores que usam o branch principal ou o release candidate do Django 6.0 devem extrair os commits mais recentes do repositório oficial para garantir que seus projetos estejam seguros.
Siga-nos no Google News, LinkedIn e X para atualizações diárias de segurança cibernética. Entre em contato conosco para apresentar suas histórias.
