Django 2.2.13 版本发行说明¶
2020 年 6 月 3 日
Django 2.2.13 修复了 2.2.12 版本中的两个安全问题和一个回归错误。
CVE-2020-13254 : 可能通过格式不正确的 memcached 键导致数据泄露¶
在某些情况下,如果一个 memcached 后端没有执行键验证,传递格式不正确的缓存键可能会导致键碰撞和潜在的数据泄露。为了避免这个漏洞,将键验证添加到 memcached 缓存后端。
CVE-2020-13596: 可能通过管理员 ForeignKeyRawIdWidget
进行跨站脚本攻击 (XSS) 攻击¶
管理员 ForeignKeyRawIdWidget
的查询参数未正确进行 URL 编码,存在跨站脚本攻击 (XSS) 风险。现在,ForeignKeyRawIdWidget
确保查询参数正确进行了 URL 编码。