Versionsinformation för Django 4.2.27

2 december 2025

Django 4.2.27 åtgärdar ett säkerhetsproblem med allvarlighetsgraden ”hög”, ett säkerhetsproblem med allvarlighetsgraden ”måttlig” och ett fel i 4.2.26.

CVE-2025-13372: Möjlig SQL-injektion i kolumnalias för FilteredRelation i PostgreSQL

FilteredRelation var sårbar för SQL-injektion i kolumnalias i PostgreSQL, med hjälp av en lämpligt utformad ordbok och ordboksexpansion som **kwargs skickades till QuerySet.annotate() eller QuerySet.alias().

CVE-2025-64460: Potentiell sårbarhet för överbelastningsattack i XML Deserializer

XML Serialization var utsatt för en potentiell denial-of-service-attack på grund av kvadratisk tidskomplexitet vid deserialisering av specialskapade dokument som innehöll många inbäddade ogiltiga element. Den interna hjälpfunktionen django.core.serializers.xml_serializer.getInnerText() ackumulerade tidigare inre text ineffektivt under rekursion. Nu samlar den in text per element, vilket undviker överdriven resursanvändning.

Buggrättningar

• En regression i Django 4.2.26 har rättats: DisallowedRedirect utlöstes av HttpResponseRedirect och HttpResponsePermanentRedirect för URL:er längre än 2 048 tecken. Gränsen är nu 16 384 tecken (#36743).