Django JSONField/HStoreField SQL 注入漏洞 (CVE-2019-14234)

最新推荐文章于 2024-05-18 12:37:33 发布
最新推荐文章于 2024-05-18 12:37:33 发布
阅读量242 收藏
点赞数
文章标签： web安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.youkuaiyun.com/zzzzz1284/article/details/128559172
版权
文章详细描述了一个影响Django应用的漏洞，该漏洞利用了JSONField和HStoreField，并且在Django-Admin中可以被复现。攻击者可以通过控制查询集的字段名称，如添加参数`detail__ab=123`来触发问题。此情况表明对用户输入的字段名需要进行严格的安全检查。

摘要生成于 C知道 ，由 DeepSeek-R1 满血版支持， 前往体验 >

n1ght_X
关注
[ vulhub漏洞复现篇 ] Django JSONField/HStoreField SQL 注入漏洞 CVE-2019-14234
qq_51577576的博客
09-30 2656
[ vulhub漏洞复现篇 ] Django JSONField/HStoreField SQL 注入漏洞 CVE-2019-14234 Django通常搭配postgresql数据库，而JSONField是该数据库的一种数据类型。该漏洞的出现的原因在于Django中JSONField类的实现，Django的model最本质的作用是生成SQL语句，而在Django通过JSONField生成sql语句时，是通过简单的字符串拼接。
CVE-2019-14234——SQL注入漏洞
战神/calmness的博客
11-21 1782
CVE-2019-14234：Django JSONField SQL注入漏洞复现 你剥开一个很酸的橙子而感到后悔了,可对于橙子来说,那是它的一切. 该漏洞需要开发者使用了JSONField/HStoreField，且用户可控queryset查询时的键名，在键名的位置注入SQL语句。 漏洞概述: Django通常搭配postgresql数据库，而JSONField是该数据库的一种数据类型。该漏...
Django JSONField/HStoreField SQL注入漏洞（CVE-2019-14234）
最新发布
weixin_45653478的博客
05-18 550
CVE-2019-14234 是一个 SQL 注入漏洞，它存在于 Django 框架中的 JSONField 和 HStoreField 字段类型中。当开发者使用这些字段类型，并且允许用户通过查询集（queryset）的键名（key name）来执行查询时，就可能会受到此漏洞的影响。由于 Django 在处理这些查询时使用了简单的字符串拼接，恶意用户可以通过构造特定的查询来注入恶意的 SQL 代码。
Django JSONFieldHStoreField SQL注入漏洞（CVE-2019-14234）
黑白的博客
12-13 419
声明 好好学习，天天向上 漏洞描述 该漏洞需要开发者使用了JSONField/HStoreField，且用户可控queryset查询时的键名，在键名的位置注入SQL语句。 Django通常搭配postgresql数据库，而JSONField是该数据库的一种数据类型。该漏洞的出现的原因在于Django中JSONField类的实现，Django的model最本质的作用是生成SQL语句，而在Django通过JSONField生成sql语句时，是通过简单的字符串拼接。 通过JSONField类获得KeyTransf
CVE-2019-14234 Django JSONField SQL注入漏洞复现
m0_48520508的博客
07-28 2611
0x01简介 Django是一款广为流行的开源web框架，由Python编写，许多网站和app都基于Django开发。 什么是JSONField，Django是一个大而全的Web框架，其支持很多数据库引擎，包括Postgresql、Mysql、Oracle、Sqlite3等，但与Django天生为一对儿的数据库莫过于Postgresql了，Django官方也建议配合Postgresql一起使用。 相比于Mysql，Postgresql支持的数据类型更加丰富，其对JSON格式数据的支持也让这个关系型数据库拥有
【研究】CVE-2019-14234 Django JSONField SQL注入漏洞复现
god_Zeo的安全博客
11-20 1810
【研究】CVE-2019-14234 Django JSONField SQL注入漏洞复现1.环境2.原理3.影响版本4.利用过程 1.环境 环境 直接使用vulhub的docker环境搭建 vulhub/django/CVE-2019-14234/ 2.原理 该漏洞需要开发者使用了JSONField/HStoreField，且用户可控queryset查询时的键名，在键名的位置注入SQL语句。 ...
django-admin-json-editor：在Django管理中为JSONField添加json-editor
02-03
Django管理JSON编辑器 应用程序通过添加了对在Django管理中编辑JSONField的支持。 快速开始 通过pip安装应用程序： pip install django-admin-json-editor 将应用程序添加到INSTALLED_APPS设置： INSTALLED_APPS = [ ... ' django_admin_json_editor ', ... ] 定义json字段的架构： DATA_SCHEMA = { 'type' : 'object' , 'title' : 'Data' , 'propertie
在Django框架中伪造捕捉到的URLconf值的方法
09-21
主要介绍了在Django框架中伪造捕捉到的URLconf值的方法,Django是Python各色人气框架中最为著名的一个,需要的朋友可以参考下
16 - vulhub - Django JSONField/HStoreField SQL注入漏洞（CVE-2019-14234）
易编橙 · 终身成长社群，相遇已是上上签！
11-03 1313
Django是一款广为流行的开源web框架，由Python编写，许多网站和app都基于Django开发。 什么是JSONField，Django是一个大而全的Web框架，其支持很多数据库引擎，包括Postgresql、Mysql、Oracle、Sqlite3等，但与Django天生为一对儿的数据库莫过于Postgresql了，Django官方也建议配合Postgresql一起使用。 相比于Mysql，Postgresql支持的数据类型更加丰富，其对JSON格式数据的支持也让这个关系型数据库拥有了NoSQ
Django_JSONField_HStoreField_SQL注入漏洞 CVE-2019-14234 漏洞复现
ADummy的博客
02-22 225
Django JSONField / HStoreField SQL注入漏洞（CVE-2019-14234） by ADummy 0x00利用路线 ​ Burpsuite抓包改包—>用户创建成功—>成功登录 0x01漏洞介绍 **Django是一个大而全的Web框架，其支持很多数据库引擎，包括Postgresql、Mysql、Oracle、Sqlite3等，但与Django天生为一对儿的数据库莫过于Postgresql了，Django官方也建议配合Postgresql一起使用。** ​
Django debug page XSS漏洞（CVE-2017-12794）漏洞复现
huayimy的博客
05-11 554
Django debug page XSS漏洞（CVE-2017-12794）漏洞复现
Django1.11.4 XSS漏洞复现（CVE-2017-12794）
m0_63699746的博客
07-20 439
Django是重量级选手中最有代表性的一位。首先定义了dj错误类型数组，以及获取了db的错误类型，判断出现错误类型是否在db的错误类型中，如果存在，则将dj.exc.value.__cause__=exc.value (图上没有可能是因为在1.11.5版本下)，直接将错误的值传给__cause__，而在500页面中会输出__cause__的值。docker启动vluhub中的CVE-2017-12794的漏洞环境。新版本1.11.5，修复了1.11.4中500页面中可能存在的一个XSS漏洞。
Django | admin 后台美化处理 JSONField
weixin_34007906的博客
05-11 1385
1 简单描述 在某些业务需求下，对于模型的某些字段，使用 JSONField 适配业务，但是这种字段在 django admin 下显示以及修改不是很直观和方便，所以这里动了念头，美化处理下 JSONField。 环境如下： python 3.5.2 django 1.11.1 postgresql 9.5.2 2 步骤以及代码示例说...
【漏洞复现-django-SQL注入】vulfocus/django-cve_2019_14234
10-12 1451
【django-SQL注入】参数注入
检测到目标url存在框架注入漏洞_Django JSONField SQL注入漏洞复现(CVE-2019-14234)
weixin_40000131的博客
11-22 1042
0x00 简介Django是一款广为流行的开源web框架，由Python编写，许多网站和app都基于Django开发。Django采用了MTV的框架模式，即模型M，视图V和模版T，使用Django，程序员可以方便、快捷地创建高品质、易维护、数据库驱动的应用程序。而且Django还包含许多功能强大的第三方插件，使得Django具有较强的可扩展性。0x01 漏洞概述该漏洞需要开发者使用了JSONFie...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值