Django JSONField/HStoreField SQL注入缝隙安全公告
颁布功夫 2019-08-02? 缝隙编号和级别
CVE编号：CVE-2019-14234 ，危险级别：高危 ，CVSS分值：官方未评定
? 影响版本
受影响的版本
Django 主开发分支
Django 2.2.x < 2.2.4Django 2.1.x < 2.1.11
Django 1.11.x < 1.11.23
? 缝隙概述
Django 是一个盛开源代码的Web利用框架 ，由Python写成 ，目前是Python Web 开发里使用最宽泛的框架之一。
8月1日 ，Django 官方颁布更新 ，其中建复了一个存在于框架中的SQL注入缝隙风险（CVE-2019-14234）。
当使用用户可控的数据作为参数 ，以**kwargs的大局传入QuerySet.filter()函数 ，对django.contrib.postgres.fields.JSONField进行键/索引查找 ，或对django.contrib.postgres.fields.HStoreField进行键查找时 ，将会导致SQL注入。
? 缝隙验证
暂无POC/EXP。
? 建复建议
目前厂商已颁布升级补丁以建复缝隙 ，请更新 Django 至以下对应版本：
Django 2.1.11
Django 1.11.23
? 参考链接
京公网安备11010802024551号