CVE-2019-12781: неправильное обнаружение HTTP при подключении обратного прокси-сервера через HTTPS.¶

При развертывании за обратным прокси-сервером, подключающимся к Django через HTTPS, django.http.HttpRequest.scheme будет неправильно определять клиентские запросы, сделанные через HTTP, как использующие HTTPS. Это влечет за собой неверные результаты для is_secure() и build_absolute_uri(), а также то, что HTTP-запросы не будут перенаправляться на HTTPS в соответствии с SECURE_SSL_REDIRECT.

HttpRequest.scheme теперь учитывает SECURE_PROXY_SSL_HEADER, если он настроен, и в запросе установлен соответствующий заголовок как для HTTP, так и для HTTPS-запросов.

Если вы развертываете Django за обратным прокси-сервером, который пересылает HTTP-запросы и подключается к Django через HTTPS, обязательно убедитесь, что ваше приложение правильно обрабатывает пути кода, основанные на scheme, is_secure(), build_absolute_uri() и SECURE_SSL_REDIRECT.