Django 1.11.5 和 1.10.8 已发布,这两个版本主要解决了一些安全性方面的问题,具体如下:
CVE-2017-12794:在 500 调试页面的追溯部分中可能会导致 XSS 攻击
- 在旧版本中,500 调试页面的模板部分中禁用了 HTML 自动转换。在合适的情况下,这样会导致跨站脚本攻击。这个漏洞应该不会影响大多数网站,因为你不会在生产环境中设置中
DEBUG = True
,这使得此页面可以访问。
受影响的版本:
- Django master development branch
- Django 1.11
- Django 1.10
根据官方的版本支持方案,现在已不再支持 Django 1.9,Django 1.8 不受影响。
具体解决方案请参阅发布说明,建议用户尽快升级。
其他更新内容请参阅各自的发布说明,1.11.5 和 1.10.8。
转自 http://www.oschina.net/news/88414/django-1-11-5-and-1-10-8