• 3.1
  • 5.0
  • 6.1
  • Версия документации: 3.2

Примечания к выпуску Django 3.1.10

6 мая 2021 г.

Django 3.1.10 устраняет проблему безопасности в версии 3.1.9.

CVE-2021-32052: Возможность внедрения заголовка, поскольку URLValidator принимает символы новой строки во входных данных на Python 3.9.5+.

В Python 3.9.5+ URLValidator не запрещал переводы строк и табуляцию. Если вы использовали значения с символами новой строки в ответе HTTP, вы можете пострадать от атак с внедрением заголовка. Сам Django не был уязвим, поскольку HttpResponse запрещает переводы строк в заголовках HTTP.

Более того, поле формы URLField, которое использует URLValidator, автоматически удаляет символы новой строки и табуляции в Python 3.9.5+, поэтому возможность ввода новых строк в ваши данные существовала только в том случае, если вы используете этот валидатор вне полей формы.

Эта проблема возникла благодаря исправлению bpo-43882.

Back to Top