Django 1.9.13 版本发行说明

2017 年 4 月 4 日

Django 1.9.13 修复了 1.9.12 版本中的两个安全问题和一个错误。这是 1.9.x 系列的最后一个版本发布。

CVE-2017-7233 ：通过用户提供的数字重定向 URL 进行开放式重定向和可能的 XSS 攻击

Django 在某些情况下依赖用户输入（例如 django.contrib.auth.views.login() 和 i18n) 来将用户重定向到“成功”URL。这些重定向的安全检查（即 django.utils.http.is_safe_url()）认为一些数值 URL（例如 http:999999999）是“安全”的，但实际上它们不应该是安全的。

此外，如果开发人员依赖于 is_safe_url() 来提供安全的重定向目标，并将这样的 URL 放入链接中，他们可能会受到 XSS 攻击的影响。

CVE-2017-7234: django.views.static.serve() 中的开放重定向漏洞

一个恶意构建的 URL 到一个使用 :func:`~django.views.static.serve 视图的 Django 站点可能会重定向到任何其他域。该视图不再进行任何重定向，因为它们不提供任何已知的有用功能。

注意，然而，这个视图一直带有警告，即它没有经过生产环境的强化，只应作为开发辅助工具使用。

漏洞修复

• 修复了 timesince 和 timeuntil 过滤器中的回归问题，导致闰年日期的结果不正确 (#27637)。