Django (FilteredRelation): Schwachstelle ermöglicht SQL injection
WID-SEC-2025-1961 · erstmals 04.09.2025 · aktualisiert 20.02.2026 · CVSS 7,1
Worum es geht
Django ist ein in Python geschriebenes serverseitiges Web-Framework, das einem Model-View-Presenter-Schema folgt. Ein entfernter, authentisierter Angreifer kann eine Schwachstelle in Django ausnutzen, um eine SQL-Injection durchzuführen.
Unter welchen Bedingungen?
Über das Netz, aber nur mit gültigem Zugang (Anmeldung nötig), etwa mit gestohlenen Zugangsdaten oder als Innentäter.
Was schlimmstenfalls passieren kann
Ein Angreifer könnte die Lücke nutzen, um
- eine SQL-Injection durchzuführen
Bin ich betroffen?
Betroffen sind laut BSI:
- Debian Linux
- Red Hat Enterprise Linux
- Fedora Linux
- Ubuntu Linux
- SUSE Linux
- SUSE openSUSE
- Red Hat Ansible Automation Platform 2.5
- Open Source Django <5.2.6
- Open Source Django <5.1.12
- Open Source Django <4.2.24
Die installierte Version steht meist unter „Hilfe → Über“ oder in der Verwaltungsoberfläche des Geräts.
Was hilft?
Aktualisieren auf mindestens:
- Open Source Django 5.2.6
- Open Source Django 5.1.12
- Open Source Django 4.2.24
Wird die Lücke schon ausgenutzt?
Keine der CVEs steht im CISA-Katalog ausgenutzter Lücken. Das heißt nicht, dass es keine Angriffe gibt, nur dass keine belegt sind.
Informationen und Quellen
- Originalmeldung des BSI (WID)
- Django security releases 5.2.6, 5.1.12, and 4.2.24 vom 2025-09-03 www.djangoproject.com
- Ubuntu Security Notice USN-7736-1 vom 2025-09-04 ubuntu.com
- SUSE Security Update SUSE-SU-2025:03074-1 vom 2025-09-04 lists.suse.com
- openSUSE Security Update OPENSUSE-SU-2025:0335-1 vom 2025-09-05 lists.opensuse.org
- Debian Security Advisory DLA-4301 vom 2025-09-16 lists.debian.org
- Red Hat Security Advisory RHSA-2025:16403 vom 2025-09-22 access.redhat.com
- Red Hat Security Advisory RHSA-2025:16404 vom 2025-09-23 access.redhat.com
- Red Hat Security Advisory RHSA-2025:16514 vom 2025-09-23 access.redhat.com
- Red Hat Security Advisory RHSA-2025:16487 vom 2025-09-23 access.redhat.com
- Red Hat Security Advisory RHSA-2025:17500 vom 2025-10-07 access.redhat.com
- Red Hat Security Advisory RHSA-2025:17499 vom 2025-10-07 access.redhat.com
- Red Hat Security Advisory RHSA-2025:17498 vom 2025-10-07 access.redhat.com
- Fedora Security Advisory FEDORA-EPEL-2025-F43C018F46 vom 2025-12-09 bodhi.fedoraproject.org
- Fedora Security Advisory FEDORA-2025-B1379D950D vom 2025-12-09 bodhi.fedoraproject.org
- Fedora Security Advisory FEDORA-2025-24DFD3B072 vom 2025-12-09 bodhi.fedoraproject.org
- Fedora Security Advisory FEDORA-2025-45EE190318 vom 2025-12-09 bodhi.fedoraproject.org
- Fedora Security Advisory FEDORA-2025-C08E0795C0 vom 2025-12-09 bodhi.fedoraproject.org
- openSUSE Security Update OPENSUSE-SU-2026:10005-1 vom 2026-01-04 lists.opensuse.org
- Debian Security Advisory DSA-6117 vom 2026-01-31 lists.debian.org
- Debian Security Advisory DSA-6136 vom 2026-02-15 lists.debian.org
- Debian Security Advisory DLA-4484 vom 2026-02-19 lists.debian.org
CVE: CVE-2025-57833
Quelle: BSI, Warn- und Informationsdienst (CERT-Bund); CISA. Die Einordnung der Bedingungen ist meine Lesart des BSI-Textes; die Fremdseiten sind in ihrer Originalsprache.