Django3.0.7发行说明

2020年6月3日

django3.0.7修复了3.0.6中的两个安全问题和几个错误。

CVE-2020-13254：通过格式错误的memcached密钥潜在的数据泄漏

在memcached后端不执行密钥验证的情况下，传递格式错误的缓存密钥可能会导致密钥冲突，并可能导致数据泄漏。为了避免此漏洞，在memcached缓存后端添加了密钥验证。

CVE-2020-13596：可能通过管理员进行XSS ForeignKeyRawIdWidget

管理员的查询参数 ForeignKeyRawIdWidget URL编码不正确，构成了XSS攻击矢量。 ForeignKeyRawIdWidget 现在确保查询参数正确的URL编码。

错误修正

  • Fixed a regression in Django 3.0 by restoring the ability to use field lookups in Meta.ordering (#31538).

  • 修正了django3.0中的回归，其中 QuerySet.values() 和 values_list() 如果查询集包含聚合和子查询注释，则崩溃 (#31566 ）

  • 修正了django3.0中的一个回归，当一个queryset有多个子查询注释时，聚合使用了错误的注释 (#31568 ）

  • 修正了django3.0中的回归，其中 QuerySet.values() 和 values_list() 如果查询集包含聚合和 Exists() 甲骨文注释 (#31584 ）

  • 修正了django3.0中的一个回归 Subquery() 表达式被认为是平等的 (#31607 ）

  • 修正了django3.0.5中的一个回归，该回归影响了为区域语言变体和通用语言提供翻译的应用程序的翻译加载，其中项目对语言有不同的复数等式 (#31570 ）

  • 跟踪jQuery安全版本，将管理员使用的jQuery版本从3.4.1升级到3.5.1。

« previous | up | next »