Django’da ikki jiddiy zaiflik: SQL injection va DoS — Django loyihalaringizda hoziroq xavfsizlik yangilanishini bajaring

Python ekotizimining mashhur veb-freymvorki Djangoda yaqinda ikki xavfli zaiflik — CVE-2025-64459 (SQL injection) va CVE-2025-64458 (Windows-ga xos DoS) — aniqlanib, rasmiy yangilanishlar chiqarildi. Ushbu muammolar dasturchilar va tizim adminlarining darhol e’tiborini talab qiladi: birinchisi ma’lumotlar bazasiga zararli SQL so‘rovlarini yuborish imkonini beradi, ikkinchisi esa Windows-da xizmatning ishlamay qolishiga olib kelishi mumkin.

Nima aniq aniqlangan?

  • CVE-2025-64459 (SQL injection). QuerySet.filter(), QuerySet.exclude(), QuerySet.get() metodlari va Q() klassi _connector nomli kalit so‘zi bilan dictionary expansion qilinayotganda ma’lum shartlar ostida SQL injektsiyasiga moyil bo‘lishi aniqlandi. Ya’ni, foydalanuvchidan kelgan maxsus tuzilgan lug‘at (dictionary) to‘g‘ri nazorat qilinmasa, xakerlar ORM orqali zararli SQL ifodalarini in’ektsiya qilib yuborishi mumkin. Bu zaiflik juda jiddiy baholangan va keng tarqalgan barcha asosiy 4.2/5.1/5.2 ip-branchlarini qamrab oladi.
  • CVE-2025-64458 (DoS — Windows). HttpResponseRedirect, HttpResponsePermanentRedirect va redirect shortcut funksiyalarida Pythonning Windows platformasidagi NFKC Unicode normalizatsiyasi sekinligi tufayli ba’zi kirishlar juda ko‘p resurs sarflab, xizmatni ishdan chiqarishi mumkin. Bu holat maxsus ko‘p miqdordagi Unicode belgilarni yuborish orqali chaqiriladi va ayniqsa Windows-da namoyon bo‘ladi.

Django jamoasi bu muammolarga tezkor javob berib, 4.2.26, 5.1.14 va 5.2.8 kabi xavfsizlik yangilanishlarini chiqardi. Har bir loyihaning o‘ziga mos keladigan patcҺni darhol o‘rnatish tavsiya qilinadi. Django Project+1

Xavfning ta’siri va kimlar xavf ostida?

  • CVE-2025-64459 — operatsion tizimdan qat’iy nazar Django ilovalari uchun jiddiy xatar. SQL injection orqali ma’lumotlar o‘g‘irlanishi, yozuvlarning o‘chirib yuborilishi yoki nosoz so‘rovlar orqali tizimning buzilishi mumkin. Tenable®
  • CVE-2025-64458 — aynan Windows-ga joylashtirilgan Django ilovalari uchun katta xavf: server resurslari ortib, xizmat javob bermay qolishi mumkin.

Texnik qisqacha tushuntirish (oddiy tilda)

SQL injection muammosi **kwargs (dictionary expansion) orqali _connector parametrini ichiga olgan konstruktsiyalar bilan bog‘liq — agar bu qiymatlar to‘liq nazorat qilinmasa, ORM ichida yasalgan so‘rov manipulyatsiya qilinishi mumkin. DoS esa Unicode normalizatsiyasining algoritmik sekinligidan kelib chiqadi: normalizatsiya juda ko‘p vaqt oladi va shu paytda so‘rov serverni tiqib qo‘yadi.

Amaliy tavsiyalar — hoziroq bajarilishi kerak

  1. Darhol yangilang. Django versiyangizni rasmiy patч’lar (4.2.26, 5.1.14, 5.2.8 yoki undan yangi)ga ko‘tarish — dastlabki va eng muhim qadam.
  2. Kod tekshiruvi o‘tkazing. Loyihada **some_dict orqali kengaytirilgan _connector ishlatilgan joylarni aniqlang va foydalanuvchi nazoratisiz dictionary expansion’dan foydalanmaslikka harakat qiling.
  3. Inputni qat’iy sanitizatsiya qiling. ORM so‘rovlarini qurishdan avval kiritilayotgan maʼlumotlarni qat’iy filtrdan o‘tkazing; foydalanuvchi kiritgan tuzilmalarni to‘g‘ridan-to‘g‘ri so‘rov konstruksiyasiga qo‘ymang.
  4. Windows serverlarida kirishni cheklang. Redirect endpointlariga yuboriladigan URL va parametrlarning maksimal uzunligini cheklash, anomaliyalarni bloklash — DoS xavfini kamaytiradi.
  5. Test va fuzzing o‘tkazing. Maqsadli fuzz-testlar orqali ORM va redirect funksiyalarini sinab ko‘ring — noto‘g‘ri ishlash yoki sekinlashuvni aniqlash uchun. Django Project
  6. WAF va SIEM qoidasini yangilang. _connector kabi shubhali konstruktsiyalar, haddan tashqari uzun yoki ko‘p Unicode belgili URL so‘rovlari va ma’lumotlar bazasiga yuborilayotgan noan’anaviy so‘rovlarni bloklashni ko‘rib chiqing.

SQL injection har doim veb-ilovalar uchun eng xavfli xatolardan biri bo‘lib qoladi: u orqali hujumchi ma’lumotlarni o‘qishi, o‘zgartirishi yoki butun tizimga hukmronlik qilishi mumkin. Shu bilan birga, DoS xatolari xizmatlarning mavjudligini yo‘qotishi mumkin — bu biznes va mijoz ishonchi uchun Noqulay bo‘ladi. Django jamoasining tezkor yondashuvi muhim bo‘lsa-da, loyiha egalari ham o‘z javobgarligini unutmasligi kerak.