Django SQL注入漏洞复现 （CVE-2022-28347）

在Django 2.2的2.2.28之前版本、3.2的3.2.13之前版本和4.0的4.0.4之前版本中的QuerySet.deexplain()存在SQL注入问题。攻击者可以通过传递精心编制的字典作为options参数来实现注入负载。漏洞影响的Django版本有2.2 <= Django < 2.2.28、3.2 <= Django < 3.2.13和4.0 <= Django < 4.0.4。修复方法是在执行语句之前对危险字符进行过滤，只有白名单内的字符串才会被拼接到语句中。