Django 5.2.6 versionsinformation

3 september 2025

Django 5.2.6 åtgärdar ett säkerhetsproblem med allvarlighetsgraden ”hög” och ett fel i 5.2.5.

CVE-2025-57833: Potentiell SQL-injektion i kolumnalias för FilteredRelation

FilteredRelation var utsatt för SQL-injektion i kolumnalias, med hjälp av en lämpligt utformad ordlista, med ordlistautvidgning, som **kwargs som skickades till QuerySet.annotate() eller QuerySet.alias().

Buggrättningar

• Fixade ett fel där användning av QuerySet.values() eller values_list() med ett ForeignObject bestående av flera fält returnerade felaktiga resultat istället för tupler av de refererade fälten (#36431).