Django 2.2.13 版本发行说明

2020 年 6 月 3 日

Django 2.2.13 修复了 2.2.12 版本中的两个安全问题和一个回归错误。

CVE-2020-13254 : 可能通过格式不正确的 memcached 键导致数据泄露

在某些情况下，如果一个 memcached 后端没有执行键验证，传递格式不正确的缓存键可能会导致键碰撞和潜在的数据泄露。为了避免这个漏洞，将键验证添加到 memcached 缓存后端。

CVE-2020-13596: 可能通过管理员 ForeignKeyRawIdWidget 进行跨站脚本攻击 (XSS) 攻击

管理员 ForeignKeyRawIdWidget 的查询参数未正确进行 URL 编码，存在跨站脚本攻击 (XSS) 风险。现在，ForeignKeyRawIdWidget 确保查询参数正确进行了 URL 编码。

漏洞修复

  • 修复了 Django 2.2.12 中的一个回归问题，影响了为领土语言变体和通用语言提供翻译的应用程序的翻译加载，在项目中为该语言使用了不同的复数方程 (#31570)。

  • 追踪 jQuery 的安全发布，将管理界面使用的 jQuery 版本从 3.3.1 升级到 3.5.1 。

« previous | up | next »