Django 2.2.13发行说明

2020年6月3日

修正了Django 2.2.2中的安全问题。

CVE-2020-13254：通过格式错误的memcached密钥潜在的数据泄漏

在memcached后端不执行密钥验证的情况下，传递格式错误的缓存密钥可能会导致密钥冲突，并可能导致数据泄漏。为了避免此漏洞，在memcached缓存后端添加了密钥验证。

CVE-2020-13596：可能通过管理员进行XSS ForeignKeyRawIdWidget

管理员的查询参数 ForeignKeyRawIdWidget URL编码不正确，构成了XSS攻击矢量。 ForeignKeyRawIdWidget 现在确保查询参数正确的URL编码。

错误修正

  • 修正了Django 2.2.12中的一个回归，该回归影响了为区域语言变体和通用语言提供翻译的应用程序的翻译加载，其中项目对语言有不同的复数等式 (#31570 ）

  • 跟踪jQuery安全版本，将管理员使用的jQuery版本从3.3.1升级到3.5.1。

« previous | up | next »