Gustavo até onde agente sabe, o Django escapa caracteres que viabilizariam o code injection. O Jamil vai colar uns links para vc dar uma olhada.