Django FilteredRelation SQL注入漏洞(CVE-2025-13372)

01 漏洞概况

在5.2版本早于5.2.9、5.1版本早于5.1.15以及4.2版本早于4.2.27的版本中发现了一个问题：在PostgreSQL上，通过精心构造的字典（利用字典展开功能）作为传递给QuerySet.annotate()或QuerySet.alias()的**kwargs时，FilteredRelation的列别名存在SQL注入风险。此前，未支持的Django版本系列（如5.0.x、4.1.x和3.2.x）未经过评估，也可能受到影响。

02 漏洞处置

综合处置优先级：高

漏洞信息	漏洞名称	FilteredRelation SQL注入漏洞
漏洞编号	CVE编号	CVE-2025-13372 ‍
漏洞评估	披露时间	2025-12-02
	漏洞类型	SQL 注入漏洞
	危害评级	高危
	公开程度	PoC未公开
	威胁类型	远程
利用情报	在野利用	否
影响产品	产品名称	Django 开源 Web 框架
	受影响版本	5.2.x < 5.2.9、5.1.x < 5.1.15、4.2.x < 4.2.27；旧版本 5.0.x、4.1.x、3.2.x
	影响范围	广
	有无修复补丁	有

03 漏洞排查

核查当前 Django 部署版本是否在受影响范围内，同时检查代码中是否存在将用户可控输入作为列别名传入 queryset.annotate () 或 alias () 的场景。

04 修复方案

1、官方修复方案：

立即将 Django 框架升级至 5.2.9、5.1.15、4.2.27 及以上安全版本，避免直接使用用户可控数据作为列别名参数。

05 时间线

    2025.12.02 安迈信科安全运营团队发布通告