Django 1.8.4 release notes

18 augusti 2015

Django 1.8.4 åtgärdar ett säkerhetsproblem och flera buggar i 1.8.3.

Denial-of-service-möjlighet i logout()-vyn genom att fylla sessionslagret

Tidigare kunde en session skapas vid anonym åtkomst till vyn django.contrib.auth.views.logout() (förutsatt att den inte var dekorerad med login_required() som görs i admin). Detta kan göra det möjligt för en angripare att enkelt skapa många nya sessionsposter genom att skicka upprepade förfrågningar, vilket potentiellt kan fylla upp sessionslagret eller orsaka att andra användares sessionsposter kastas ut.

Klassen:~django.contrib.sessions.middleware.SessionMiddleware har ändrats så att den inte längre skapar tomma sessionsposter, inklusive när :inställningen:`SESSION_SAVE_EVERY_REQUEST` är aktiv.

Buggrättningar

• Lagt till möjligheten att serialisera värden från den nyligen tillagda UUIDField (#25019).

• Lagt till en varning för systemkontroll om de gamla inställningarna TEMPLATE_* definieras utöver den nya inställningen TEMPLATES.

• Fixade QuerySet.raw() så att InvalidQuery inte uppstår när man använder db_column-namnet på ett ForeignKey-fält med primary_key=True (#12768).

• Förhindrade ett undantag i TestCase.setUpTestData() från att läcka transaktionen (#25176).

• Fixade metoden has_changed() i contrib.postgres.forms.HStoreField (#25215, #25233).

• Fixade registreringen av krossade migreringar när kommandot migrate kördes (#25231).

• Flyttade unsaved model instance assignment data loss check till Model.save() för att göra det lättare att använda modeller i minnet (#25160).

• Förhindrade varchar_patterns_ops och text_patterns_ops index för ArrayField (#25180).