---
title: "Django 2.2.28 版本发行说明"
version: 5.2
locale: zh-hans
source: https://docs.djangoproject.com/zh-hans/5.2/releases/2.2.28/
canonical: https://djangodocs.dev/zh-hans/5.2/releases/2.2.28/
---
# Django 2.2.28 版本发行说明

*2022 年 4 月 11 日*

Django 2.2.28 修复了 Django 2.2.27 中两个严重级别的安全问题。

## CVE-2022-28346: `QuerySet.annotate()`, `aggregate()`, 和 `extra()` 存在潜在的 SQL 注入漏洞

[`QuerySet.annotate()`](/zh-hans/5.2/ref/models/querysets/#django.db.models.query.QuerySet.annotate)、[`aggregate()`](/zh-hans/5.2/ref/models/querysets/#django.db.models.query.QuerySet.aggregate) 和 [`extra()`](/zh-hans/5.2/ref/models/querysets/#django.db.models.query.QuerySet.extra) 方法在列别名中存在 SQL 注入风险，如果传递给这些方法的 `**kwargs` 中使用了经过适当精心制作的带有字典扩展的字典。

## CVE-2022-28347: 在 PostgreSQL 上通过 `QuerySet.explain(**options)` 存在潜在的 SQL 注入漏洞

[`QuerySet.explain()`](/zh-hans/5.2/ref/models/querysets/#django.db.models.query.QuerySet.explain) 方法在选项名称中存在 SQL 注入风险，如果将经过适当精心制作的字典与字典扩展作为 `**options` 参数传递。