CVE-2022-34265

回答: CVE-2022-34265是一个影响Django的SQL注入漏洞。该漏洞存在于Trunc()方法的kind参数和Extract()方法的lookup_name参数未进行安全过滤的情况下，攻击者可以利用这个漏洞进行SQL注入攻击。\[2\]该漏洞的影响等级被评定为高危，但利用成本较低。受影响的版本是(∞, 3.2.14)和\[4.0, 4.0.6)，官方已经在4.0.6和3.2.14版本中修复了这个问题。\[2\]如果你想复现这个漏洞，你可以选择一个名为CVE-2022-34265的漏洞文件夹，然后运行docker-compose up -d命令来加载漏洞环境。\[1\]你可以通过docker-compose ps命令查看环境所在的端口号，通常是8000。\[1\]然后你可以在浏览器中输入http://your-ip:8000来访问漏洞环境。\[3\]在页面上，你会看到time和count两个参数。你可以通过修改date参数的值来触发漏洞。\[3\]需要注意的是，官方已经发布了修复此漏洞的安全更新，建议开发者及时更新Django版本以避免受到攻击。\[2\]
#### 引用[.reference_title]
- *1* *3* [通过Trunc（kind）和Extract（lookup_name）参数的Django潜在SQL注入（CVE-2022-34265）](https://blog.csdn.net/weixin_58320878/article/details/127138812)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630","extra":{"utm_source":"vip_chatgpt_common_search_pc_result","utm_medium":"distribute.pc_search_result.none-task-cask-2~all~insert_cask~default-1-null.142^v91^insertT0,239^v3^insert_chatgpt"}} ] [.reference_item]
- *2* [Python Web 框架 Django 修复SQL注入漏洞（CVE-2022-34265）](https://blog.csdn.net/murphysec/article/details/125697351)[target="_blank" data-report-click={"spm":"1018.2226.3001.9630","extra":{"utm_source":"vip_chatgpt_common_search_pc_result","utm_medium":"distribute.pc_search_result.none-task-cask-2~all~insert_cask~default-1-null.142^v91^insertT0,239^v3^insert_chatgpt"}} ] [.reference_item]
[ .reference_list ]