🛡️ “Django ออกแพตช์ด่วน! อุดช่องโหว่ SQL Injection ร้ายแรงใน MySQL/MariaDB พร้อมเตือนภัย Directory Traversal” ทีมพัฒนา Django ได้ออกอัปเดตความปลอดภัยครั้งสำคัญในวันที่ 1 ตุลาคม 2025 เพื่อแก้ไขช่องโหว่สองรายการที่ส่งผลกระทบต่อระบบฐานข้อมูลและการตั้งค่าโปรเจกต์ โดยเฉพาะช่องโหว่ CVE-2025-59681 ซึ่งถูกจัดอยู่ในระดับ “ร้ายแรง” เนื่องจากเปิดทางให้ผู้โจมตีสามารถฝังคำสั่ง SQL ผ่านฟังก์ชันยอดนิยมของ Django ORM ได้แก่ annotate(), alias(), aggregate() และ extra() เมื่อใช้งานร่วมกับฐานข้อมูล MySQL หรือ MariaDB ช่องโหว่นี้เกิดจากการใช้ dictionary expansion (**kwargs) ที่ไม่ผ่านการตรวจสอบอย่างเหมาะสม ทำให้ attacker สามารถส่ง key ที่มีคำสั่ง SQL แฝงเข้าไปเป็น column alias ได้โดยตรง เช่น malicious_alias; DROP TABLE users; -- ซึ่งจะถูกแปลเป็นคำสั่ง SQL และรันทันทีหากระบบไม่มีการป้องกัน อีกหนึ่งช่องโหว่ CVE-2025-59682 แม้จะมีความรุนแรงต่ำกว่า แต่ก็อันตรายไม่น้อย โดยเกิดจากฟังก์ชัน django.utils.archive.extract() ที่ใช้ในการสร้างโปรเจกต์หรือแอปผ่าน template ซึ่งสามารถถูกใช้เพื่อโจมตีแบบ directory traversal ได้ หากไฟล์ใน archive มี path ที่คล้ายกับโฟลเดอร์เป้าหมาย เช่น ../../config.py อาจทำให้ไฟล์สำคัญถูกเขียนทับได้ Django ได้ออกแพตช์ในเวอร์ชัน 5.2.7, 5.1.13 และ 4.2.25 รวมถึงสาขา main และ 6.0 alpha โดยแนะนำให้ผู้ใช้ทุกคนอัปเดตทันที และสำหรับผู้ที่ยังไม่สามารถอัปเดตได้ ควรตรวจสอบโค้ดที่ใช้ฟังก์ชันดังกล่าว และหลีกเลี่ยงการใช้ template ที่ไม่ได้รับความไว้วางใจ ✅ ข้อมูลสำคัญจากข่าว ➡️ Django ออกแพตช์แก้ไขช่องโหว่ CVE-2025-59681 และ CVE-2025-59682 ➡️ CVE-2025-59681 เป็นช่องโหว่ SQL Injection ในฟังก์ชัน ORM เช่น annotate(), alias(), aggregate(), extra() ➡️ ช่องโหว่นี้เกิดจากการใช้ dictionary expansion (**kwargs) ที่ไม่ผ่านการตรวจสอบ ➡️ ส่งผลเฉพาะกับฐานข้อมูล MySQL และ MariaDB ไม่กระทบ PostgreSQL หรือ SQLite ➡️ CVE-2025-59682 เป็นช่องโหว่ directory traversal ในฟังก์ชัน extract() ที่ใช้ใน startapp และ startproject ➡️ Django ออกแพตช์ในเวอร์ชัน 5.2.7, 5.1.13, 4.2.25 และสาขา main/6.0 alpha ➡️ แนะนำให้อัปเดตทันที หรือหลีกเลี่ยงการใช้ template ที่ไม่ปลอดภัย ✅ ข้อมูลเสริมจากภายนอก ➡️ Django ORM เป็นหนึ่งในจุดแข็งของ framework ที่ช่วยป้องกัน SQL injection ได้ดี แต่ช่องโหว่นี้หลุดจากการตรวจสอบ alias ➡️ การใช้ dictionary ที่มี key จาก user input เป็นความเสี่ยงที่พบได้บ่อยในระบบ dynamic query ➡️ Directory traversal เป็นเทคนิคที่ใช้ path เช่น ../ เพื่อเข้าถึงไฟล์นอกโฟลเดอร์เป้าหมาย ➡️ ช่องโหว่ลักษณะนี้สามารถใช้ร่วมกับ template ที่ฝังมัลแวร์เพื่อโจมตีในขั้นตอน setup ➡️ Django มีระบบแจ้งช่องโหว่ผ่านอีเมล security@djangoproject.com เพื่อให้แก้ไขได้รวดเร็ว https://securityonline.info/django-security-alert-high-severity-sql-injection-flaw-cve-2025-59681-fixed-in-latest-updates/