Примечания к выпуску Django 2.1.9¶
3 июня 2019
Django 2.1.9 исправляет проблемы безопасности в версии 2.1.8.
CVE-2019-12308: AdminURLFieldWidget XSS¶
Кликабельная ссылка «Current URL», созданная командой AdminURLFieldWidget
, отображала предоставленное значение без проверки его как безопасного URL. Таким образом, непроверенное значение, хранящееся в базе данных, или значение, предоставленное в качестве полезной нагрузки параметра запроса URL, могло привести к появлению кликабельной ссылки JavaScript.
AdminURLFieldWidget
теперь проверяет предоставленное значение с помощью URLValidator
перед отображением кликабельной ссылки. Вы можете настроить валидатор, передав validator_class
kwarg в AdminURLFieldWidget.__init__()
, например, при использовании formfield_overrides
.
Исправлена комплектация jQuery для CVE-2019-11358: Загрязнение прототипа¶
jQuery до версии 3.4.0 неправильно обрабатывает jQuery.extend(true, {}, ...)
из-за загрязнения Object.prototype
. Если несанированный исходный объект содержал перечислимое __proto__
свойство, он мог расширить родной Object.prototype
.
Версия jQuery, используемая администратором Django, была исправлена, чтобы позволить библиотеке select2
использовать jQuery.extend()
.