漏洞描述
攻击者使用精心编制的字典，通过 kwargs传递给QuerySet.annotate()、aggregate()和extra()这些方法，可导致这些方法在列别名中受到SQL注入攻击，该漏洞在 2.2.28之前的 Django 2.2、3.2.13 之前的 3.2 和 4.0.4 之前的 4.0 中都存在这个问题。
Django SQL注入漏洞(CVE-2022-28346)
PoC代码
暂无相关漏洞推荐
-
django-debug-enabled: Django Debug mode enabled POC
2025-09-01 | Django DebugFOFA: body="because you have <code>DEBUG = True</code>" -
CVE-2022-34265: Django - SQL injection POC
2025-08-01 | DjangoAn issue was discovered in Django 3.2 before 3.2.14 and 4.0 before 4.0.6. The Trunc() and Extract() ... -
CVE-2017-12794: Django Debug Page - Cross-Site Scripting POC
2025-08-01 | DjangoDjango 1.10.x before 1.10.8 and 1.11.x before 1.11.5 has HTML autoescaping disabled in a portion of ... -
Webmin /package-updates/update.cgi 命令执行漏洞（CVE-2022-36446） 无POC
2025-09-05 | WebminWebmin是Webmin社区的一套基于Web的用于类Unix操作系统中的系统管理工具。 Webmin 1.997之前的版本存在安全漏洞，该漏洞源于其software/apt-lib.pl组件缺少对U... -
CVE-2022-0342: Zyxel authentication bypass patch analysis POC
2025-09-01 | ZyxelAn authentication bypass vulnerability in the CGI program of Zyxel USG/ZyWALL series firmware versio...