Django 5.0.3 リリースノート¶
2024年3月4日
Django 5.0.3 では、 5.0.2 における深刻度 "moderate" のセキュリティの問題1件と、いくつかのバグを修正しました。
CVE-2024-27351: django.utils.text.Truncator.words() における正規表現によるサービス拒否の可能性¶
django.utils.text.Truncator.words() メソッド（html=True を使用時）および truncatewords_html テンプレートフィルタは、攻撃のために作られた文字列を使用した潜在的な正規表現によるサービス拒否攻撃の対象となっていました (CVE 2019-14232 および CVE 2023-43665 のフォローアップ)。
バグ修正¶
Django 5.0.2 において、
intcommaテンプレートフィルタが float 表現の文字列に対して先頭のカンマを返してしまう場合があるリグレッションを修正しました (#35172)。Django 5.0 において、すべてのレシーバが非同期関数の場合に
Signal.asend()とasend_robust()がクラッシュしてしまうバグを修正しました (#35174)。Django 5.0.1 において、
ModelAdmin.list_filterにフィールドが含まれていない場合に、ModelAdmin.lookup_allowed()が__isnullのようなルックアップを使用している外部キーに対するフィルタリングをブロックしてしまうリグレッションを修正しました (#35173)。Django 5.0 でのリグレッションを修正しました。
.pycファイルからロードされた関数において@sensitive_variablesおよび@sensitive_post_parametersデコレータがクラッシュを引き起こしていました (#35187)。Django 5.0 でのリグレッションを修正しました。ベースマネージャーのベースクエリセットが
prefetch_related()を使用したときに、テストデータベースをリロードする際にクラッシュを引き起こしていました (#35238)。Django 5.0 のバグを1つ修正しました。admin 内のファセットフィルタが、主キーのないクエリセットを使用したときに
SimpleListFilterでクラッシュしていました (#35198)。
