Django 4.2.14 版本发行说明¶

2024 年 7 月 9 日

Django 4.2.14 修复了 4.2.13 中的两个严重程度为“中等”的安全问题和两个严重程度为“低”的安全问题。

CVE-2024-38875：`django.utils.html.urlize()` 中潜在的拒绝服务漏洞¶

urlize 和 urlizetrunc 可能会因某些包含大量括号的输入而遭受潜在的拒绝服务攻击。

authenticate() 方法允许远程攻击者通过对不可用密码用户的登录请求进行计时攻击来枚举用户。

继承自 Storage 基类的派生类，如果重写了 generate_filename() 但没有复制父类中存在的文件路径验证逻辑，可能会在调用 save() 时因某些输入导致潜在的目录遍历问题。

内置的 Storage 子类不受此漏洞影响。

get_supported_language_variant() 在处理包含特定字符的非常长字符串时，可能会遭受潜在的拒绝服务攻击。

为了缓解此漏洞，现在提供给 get_supported_language_variant() 的语言代码最多解析 500 个字符。

当语言代码超过 500 个字符时，如果 strict 为 True，或者没有通用变体且 strict 为 False，现在会抛出 ValueError。