Django 5.2.7 versionsinformation

1 oktober 2025

Django 5.2.7 åtgärdar ett säkerhetsproblem med svårighetsgraden ”hög”, ett säkerhetsproblem med svårighetsgraden ”låg” och ett fel i 5.2.6. Dessutom har de senaste strängöversättningarna från Transifex införlivats.

CVE-2025-59681: Potentiell SQL-injektion i QuerySet.annotate(), alias(), aggregate() och extra() på MySQL och MariaDB

QuerySet.annotate(), alias(), aggregate() och extra() metoder var utsatta för SQL-injektion i kolumnalias, med hjälp av en lämpligt utformad ordlista, med ordlistans utvidgning, som **kwargs som skickades till dessa metoder (uppföljning till CVE 2022-28346).

CVE-2025-59682: Potentiell partiell kataloggenomgång via archive.extract()

Funktionen django.utils.archive.extract(), som används av startapp --template och startproject --template, tillät partiell kataloggenomgång via ett arkiv med filvägar som delade ett gemensamt prefix med målkatalogen (uppföljning till CVE 2021-3281).

Buggrättningar

• Fixade en regression i Django 5.2 som minskade färgkontrasten för den valda etiketten för widgetarna filter_horizontal- och filter_vertical inom en TabularInline (#36601).