Django 4.2.24 リリースノート¶
2025年9月3日
Django 4.2.24 では 4.2.23 における深刻度 "high" のセキュリティの問題を修正しました。
CVE-2025-57833: FilteredRelation の列エイリアスにおける潜在的な SQL インジェクション¶
:class:.`FilteredRelation` は、列エイリアスにおいて SQL インジェクションの脆弱性が存在していました。これは、適切に細工された辞書を **kwargs として QuerySet.annotate() や QuerySet.alias() に渡し、辞書展開を利用することで悪用される可能性がありました。
