• 3.2
  • 5.0
  • 6.1
  • Версия документации: 3.1

Примечания к выпуску Django 2.2.3

1 июля 2019 г.

В Django 2.2.3 исправлена ​​проблема безопасности и несколько ошибок в версии 2.2.2. Кроме того, включены последние переводы строк от Transifex.

CVE-2019-12781: неправильное обнаружение HTTP при подключении обратного прокси-сервера через HTTPS.

При развертывании за обратным прокси-сервером, подключающимся к Django через HTTPS, django.http.HttpRequest.scheme будет неправильно определять клиентские запросы, сделанные через HTTP, как использующие HTTPS. Это влечет за собой неверные результаты для is_secure() и build_absolute_uri(), а также то, что HTTP-запросы не будут перенаправляться на HTTPS в соответствии с SECURE_SSL_REDIRECT.

HttpRequest.scheme теперь учитывает SECURE_PROXY_SSL_HEADER, если он настроен, и в запросе установлен соответствующий заголовок как для HTTP, так и для HTTPS-запросов.

Если вы развертываете Django за обратным прокси-сервером, который пересылает HTTP-запросы и подключается к Django через HTTPS, обязательно убедитесь, что ваше приложение правильно обрабатывает пути кода, основанные на scheme, is_secure(), build_absolute_uri() и SECURE_SSL_REDIRECT.

Исправления

  • Исправлена ​​регрессия в Django 2.2, при которой Avg, StdDev и Variance завершали работу с аргументом filter (#30542).

  • Исправлена ​​регрессия в Django 2.2.2, из-за которой автоперезагрузка аварийно завершала работу с AttributeError, например. при использовании ipdb (#30588).

Back to Top