Django 4.0.4 release notes

11 april 2022

Django 4.0.4 åtgärdar två säkerhetsproblem med allvarlighetsgrad ”hög” och två buggar i 4.0.3.

CVE-2022-28346: Potentiell SQL-injektion i QuerySet.annotate(), aggregate() och extra()

metoderna QuerySet.annotate(), aggregate() och extra() var föremål för SQL-injektion i kolumnaliaser med hjälp av en lämpligt utformad ordbok med ordboksutvidgning som **kwargs som skickades till dessa metoder.

CVE-2022-28347: Potentiell SQL-injektion via ``QuerySet.explain (**options) `` på PostgreSQL

QuerySet.explain()-metoden var föremål för SQL-injektion i alternativnamn, med hjälp av en lämpligt utformad ordbok, med ordboksutvidgning, som argumentet **options.

Buggrättningar

• Åtgärdade en regression i Django 4.0 som orsakade ignorering av flera FilteredRelation()-relationer till samma fält (#33598).

• Åtgärdade en regression i Django 3.2.4 som gjorde att den automatiska omladdaren inte längre upptäckte ändringar när alternativet DIRS i inställningen TEMPLATES innehöll en tom sträng (#33628`).