Примечания к выпуску Django 2.2.13¶
3 июня 2020 г.
В Django 2.2.13 исправлены две проблемы безопасности и регресс в версии 2.2.12.
CVE-2020-13254: потенциальная утечка данных из-за неправильно сформированных ключей memcached.¶
В тех случаях, когда серверная часть memcached не выполняет проверку ключей, передача неверных ключей кэша может привести к конфликту ключей и потенциальной утечке данных. Чтобы избежать этой уязвимости, в серверные части кэша memcached добавлена проверка ключей.
CVE-2020-13596: возможен XSS через администратора «ForeignKeyRawIdWidget».¶
Параметры запроса администратора «ForeignKeyRawIdWidget» не были должным образом закодированы в URL-адресе, что представляло собой вектор атаки XSS. ForeignKeyRawIdWidget теперь гарантирует правильное URL-кодирование параметров запроса.
Исправления¶
Исправлена регрессия в Django 2.2.12, которая влияла на загрузку перевода для приложений, предоставляющих переводы для вариантов территориального языка, а также для общего языка, где в проекте используются разные уравнения множественного числа для языка (#31570).
Отслеживая выпуск безопасности jQuery, версия jQuery, используемая администратором, была обновлена с 3.3.1 до 3.5.1.