Django 5.2.2 release notes

4 juni 2025

Django 5.2.2 åtgärdar ett säkerhetsproblem med allvarlighetsgrad ”låg” och flera buggar i 5.2.1.

CVE-2025-48432: Potentiell logginjektion via obegränsad sökväg

Intern loggning av HTTP-svar använde request.path direkt, vilket gjorde att kontrolltecken (t.ex. nya rader eller ANSI-escape-sekvenser) kunde skrivas in i loggar utan avkodning. Detta kan möjliggöra injektion eller förfalskning av loggar, vilket gör det möjligt för angripare att manipulera loggens utseende eller struktur, särskilt i loggar som bearbetas av externa system eller visas i terminaler.

Även om detta inte direkt påverkar Djangos säkerhetsmodell, utgör det risker när loggar konsumeras eller tolkas av andra verktyg. För att åtgärda detta escapar den interna funktionen django.utils.log.log_response() nu alla positionella formateringsargument med hjälp av en säker kodning.

Buggrättningar

• Fixade en krasch när select_related användes mot ett ForeignObject som härstammar från en modell med en CompositePrimaryKey (#36373`).

• Åtgärdade ett fel i Django 5.2 där underförfrågningar som använder "pk" för att referera till modeller med en CompositePrimaryKey inte gav upphov till ValueError när för många eller för få kolumner valdes (#36392`).

• Åtgärdade en regression i Django 5.2 som orsakade en krasch när inga argument skickades till QuerySet.union() (#36388).

• Åtgärdade en regression i Django 5.2 där underklasser av RemoteUserMiddleware som hade åsidosatt process_request() inte längre stöddes (#36390).

• Åtgärdade en regression i Django 5.2 som orsakade en krasch när man använde OuterRef i filter-argumentet i ett Aggregate-uttryck (#36404`).

• Fixade en regression i Django 5.2 som orsakade en krasch när du använder OuterRef i PostgreSQL-aggregatfunktioner ArrayAgg, StringAgg och JSONBAgg (#36405).

• Åtgärdade en regression i Django 5.2 där admins filter_horizontal-knappar saknade type="button", vilket gjorde att de avbröt formulärinlämning när man tryckte på Enter-tangenten (#36423`).

• Åtgärdat ett fel i Django 5.2 där anrop av QuerySet.in_bulk() med ett id_list-argument på modeller med en CompositePrimaryKey inte följde databasens parametergränser (#36416`).

• Åtgärdat ett fel i Django 5.2 där HttpRequest.get_preferred_type() inte tog hänsyn till parametrar för medietyp i Accept-rubriker, vilket minskade specificiteten i innehållsförhandlingarna (#36411).

• Åtgärdade en regression i Django 5.2 som orsakade en krasch när man använde QuerySet.prefetch_related() för att hämta en främmande nyckel med en Prefetch queryset för en underklass av det främmande målet (#36432).