文章总结： 文章介绍了CVE-2025-64459，这是一个影响Django核心查询功能的高危SQL注入漏洞，存在于QuerySet.filter()等方法中。当开发者使用字典展开并通过_connector关键字传入未校验数据时，可能触发注入。文章提供了漏洞利用条件、复现环境及修复方案，建议升级Django到安全版本。
综合评分： 80
文章分类： 漏洞分析,WEB安全,漏洞预警,渗透测试,安全工具
【附POC及复现环境】Django SQL注入漏洞复现(CVE-2025-64459)
原创
a1batr0ss
天翁安全
2025年11月7日 22:57
江苏
免责声明：本公众号所发布的全部内容，包括但不限于技术文章、POC脚本、漏洞利用工具及相关测试环境，均仅限于合法的网络安全学习、研究和教学用途。所有人在使用上述内容时，应严格遵守中华人民共和国相关法律法规以及道德伦理要求。未经明确的官方书面授权，严禁将公众号内的任何内容用于未经授权的渗透测试、漏洞利用或攻击行为。 所有人仅可在自己合法拥有或管理的系统环境中进行本地漏洞复现与安全测试，或用于具有明确授权的合法渗透测试项目。所有人不得以任何形式利用公众号内提供的内容从事非法、侵权或其他不当活动。 如因违反上述规定或不当使用本公众号提供的任何内容，造成的一切法律责任、经济损失、纠纷及其他任何形式的不利后果，均由相关成员自行承担，与本公众号无任何关联。
不错过最新的漏洞POC
为保证您可以在第一时间接收到本公众号分享的漏洞复现及POC信息，建议您在公众号“天翁安全”主页界面将“天翁安全”设为星标。
漏洞介绍
CVE-2025-64459 是一个影响 Django 核心查询功能的高危 SQL 注入缺陷，漏洞存在于 QuerySet.filter()、 QuerySet.exclude()、 QuerySet.get() 等方法以及 Q() 对象，当开发者使用字典展开（dictionary expansion）并通过 _connector 关键字传入未校验的数据时，构造恶意内容可能被当作查询连接器处理从而触发注入。
漏洞利用条件
- Django版本4.2 x：< 4.2.26
- Django版本5.1.x：< 5.1.14
- Django版本5.2.x：< 5.2.8
漏洞复现环境
在“CVE-2025-64459漏洞复现环境”执行一条命令即可部署环境
python manage.py runserver 127.0.0.1:8000
“CVE-2025-64459漏洞复现环境”详见文末
漏洞复现
我们正常访问 http://127.0.0.1:8000/users/?name=alice&[email protected] 只能访问到alice用户的相关信息。
但当使用如下POC访问时，可访问到所有用户的相关信息。
“CVE-2025-64459 POC” 详见文末
漏洞修复
修复需要将版本升级，将Django版本升级到：
- Django版本4.2 x：< 4.2.26
- Django版本5.1.x：< 5.1.14
- Django版本5.2.x：< 5.2.8
知识星球
“CVE-2025-64459漏洞复现环境”、“POC-CVE-2025-64459” 现已全部发布至知识星球，大家可在知识星球内获取，自行学习复现。
星球不定期更新市面上最新的热点漏洞及复现环境，欢迎加入交流和学习
亮点一、市面热点漏洞详细分析，与deepseek本地部署息息相关的：Ollama任意文件读取漏洞（CVE-2024-37032）详细分析
亮点二、近日最新披露的明星漏洞POC：Apache Tomcat RewriteValve 路径遍历漏洞(CVE-2025-55752) POC及复现环境
亮点三、框架漏洞专题-WordPress：
【WordPress专题01】前台管理员账户创建漏洞（CVE-2025-4334）POC、复现环境、漏洞详细分析：
亮点四、实战渗透测试技巧分享&讨论：记一次利用测试站打到正式站的渗透测试
亮点五、一些比较新奇有趣的漏洞分享：Windows拖拽图标而触发的漏洞
亮点六、国外最新技术文章分享：只需一封邮件，AI Agent就能悄悄偷走你Google Drive里的文件
知识星球加入方式如下，欢迎师傅们加入进行学习和讨论！
星球价格会随着成员数量的增加而持续增加
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：天翁安全 a1batr0ss《【附POC及复现环境】Django SQL注入漏洞复现(CVE-2025-64459)》