Django 5.2.9 versionsinformation

2 december 2025

Django 5.2.9 åtgärdar ett säkerhetsproblem med allvarlighetsgraden ”hög”, ett säkerhetsproblem med allvarlighetsgraden ”måttlig” och flera fel i 5.2.8.

CVE-2025-13372: Möjlig SQL-injektion i kolumnalias för FilteredRelation i PostgreSQL

FilteredRelation var sårbar för SQL-injektion i kolumnalias i PostgreSQL, med hjälp av en lämpligt utformad ordbok och ordboksexpansion som **kwargs skickades till QuerySet.annotate() eller QuerySet.alias().

CVE-2025-64460: Potentiell sårbarhet för överbelastningsattack i XML Deserializer

XML Serialization var utsatt för en potentiell denial-of-service-attack på grund av kvadratisk tidskomplexitet vid deserialisering av specialskapade dokument som innehöll många inbäddade ogiltiga element. Den interna hjälpfunktionen django.core.serializers.xml_serializer.getInnerText() ackumulerade tidigare inre text ineffektivt under rekursion. Nu samlar den in text per element, vilket undviker överdriven resursanvändning.

Buggrättningar

• Fixade ett fel i Django 5.2 där django.utils.feedgenerator.Stylesheet.__str__() inte undvek attributen url, mimetype och media, vilket potentiellt kunde leda till ogiltig XML-markering (#36733).

• Ett fel i Django 5.2 på PostgreSQL har rättats: bulk_create() tillämpade inte ett fälts egna frågeplatshållare (#36748).

• En regression i Django 5.2.2 har rättats som orsakade en krasch vid användning av aggregeringsfunktioner med ett tomt Q-filter över en frågeuppsättning med annotationer (#36751).

• En regression i Django 5.2.8 har rättats: DisallowedRedirect utlöstes av HttpResponseRedirect och HttpResponsePermanentRedirect för URL:er längre än 2 048 tecken. Gränsen är nu 16 384 tecken (#36743).

• Fixade ett krasch i Python 3.14+ som hindrade malltaggfunktioner från att registreras när deras typannoteringar krävde uppskjuten utvärdering (#36712).