Nótaí scaoilte Django 1.11.10Link to this heading#

CVE-2018-6188: Sceitheadh faisnéise i “Form Fíordheimhniúcháin”Link to this heading#

Rinneadh aischéimniú i Django 1.11.8: class: ~django.contrib.auth.forms.AuthenticationForm a modh confirm_login_allow () ``fiú má iontráiltear pasfhocal mícheart. Féadann sé seo faisnéis faoi úsáideoir a sceitheadh, ag brath ar na teachtaireachtaí a ardaíonn `confirm_login_allow () `. Mura ndéantar confirm_login_allow () ``a fhilleadh, cuireann ionsaitheoir ainm úsáideora treallach isteach agus féach an bhfuil an t-úsáideoir sin socraithe go ``is_active=false`. Má dhéantar `confirm_login_allow () ``a athshealbhú, d'fhéadfaí sonraí níos íogaire a sceitheadh.

Socraítear an cheist seo leis an rabhadh nach féidir le AuthenticationForm ``an earráid “Tá an cuntas seo neamhghníomhach.” a ardú a thuilleadh má dhiúltaíonn an cúltaca fíordheimhnithe úsáideoirí neamhghníomhacha (déan an cúltaca fíordheimhnithe réamhshocraithe, `ModelBackend, é sin ó Django 1.10). Déanfar athbhreithniú ar an tsaincheist seo do Django 2.1 mar shocrú chun aghaidh a thabhairt ar an gcaitheamh is dócha go mbeidh sé ró-ionrach lena chur san áireamh i leaganacha níos sine.

BuigdheisiúcháinLink to this heading#

• Neamhnú eochair eachtrach mícheart seasta má tá dhá eochair eachtracha ag samhail don tsamhail chéanna agus scriostar spriocmhúnla (:ticket: 29016).

• Socraigh aischéimniú ina dtiocfaidh contrib.auth.autenticate () ``mura nglacann cúltaca fíordheimhnithe le ``request agus má dhéanann ceann níos déanaí (:ticket: 29071).

• Timpiste seasta agus uuid neamhbhailí á iontráil i ModelAdmin.raw_id_fields (:ticket: 29094).