Django 1.9.10 版本发行说明

2016 年 9 月 26 日

Django 1.9.10 修复了 1.9.9 版本中的一个安全问题。

在使用 Google Analytics 的网站中存在跨站请求伪造（CSRF）保护绕过。

Google Analytics 和 Django 的 cookie 解析之间的交互可能允许攻击者设置任意的 Cookie，从而绕过 CSRF 保护。

request.COOKIES 的解析器被简化，以更好地匹配浏览器的行为并减轻此攻击。request.COOKIES 现在可以包含根据 RFC 6265 无效但可以通过 document.cookie 设置的 cookie。