Django 2.2.24 release notes

2 juni 2021

Django 2.2.24 åtgärdar två säkerhetsproblem i 2.2.23.

CVE-2021-33203: Möjlig katalogtraversering via admindocs

Personalen kan använda vyn admindocs TemplateDetailView för att kontrollera förekomsten av godtyckliga filer. Dessutom, om (och endast om) standardmallarna för admindocs har anpassats av utvecklarna för att även exponera filinnehållet, så skulle inte bara existensen utan även filinnehållet ha exponerats.

För att mildra effekterna tillämpas nu sökvägssanering och endast filer i mallens rotkataloger kan laddas.

CVE-2021-33571: Möjliga obestämda SSRF-, RFI- och LFI-attacker eftersom validerare accepterade inledande nollor i IPv4-adresser

URLValidator, validate_ipv4_address(), och validate_ipv46_address() förbjöd inte ledande nollor i oktala literaler. Om man använde sådana värden kunde man utsättas för obestämda SSRF-, RFI- och LFI-attacker.

validatorerna validate_ipv4_address() och validate_ipv46_address() påverkades inte i Python 3.9.5+.