ウェブアプリフレームワーク「Django」に脆弱性 - 「クリティカル」も

ウェブアプリケーションフレームワーク「Django」に複数の脆弱性が明らかとなった。アップデートで修正されている。

「CVE-2024-42005」は、SQLインジェクションの脆弱性。一部メソッドにおいて、細工された「JSON オブジェクトキー」により悪用が可能になるという。

開発チームでは重要度を「高（High）」とした。一方、米国立標準技術研究所（NIST）の脆弱性データベース「NVD」では、共通脆弱性評価システム「CVSSv3.1」のベーススコアを「9.8」、重要度を「クリティカル（Critical）」と評価している。

のこる3件については、サービス拒否やリソースを過剰に消費する脆弱性としており、開発チームでは重要度を「中（Moderate）」とした。NVDでは、いずれもCVSS値を「7.5」とし、重要度を「高（High）」とレーティングしている。

開発チームでは、脆弱性を修正した「同5.0.8」「同4.2.15」をリリース。パッチについても提供している。今回のアップデートで修正された脆弱性は以下のとおり。

CVE-2024-41989
CVE-2024-41990
CVE-2024-41991
CVE-2024-42005

（Security NEXT - 2024/08/09 ）ツイート