Nótaí scaoilte Django 2.2.8Link to this heading#

CVE-2019-19118: Méadú pribhléid i riarachán Django.Link to this heading#

Ó Django 2.1, taispeánfadh riarachán samhail Django a thaispeánann múnla tuismitheora le línte samhail ghaolmhara, áit a bhfuil ceadanna amhairc amháin ag an úsáideoir do mhúnla tuismitheora ach ceadanna eagarthóireachta don tsamhail inlíne, léamh amháin ar an tuismitheora ach foirmeacha in-eagar don inlíne.

Ní cheadódh na foirmeacha seo a chur isteach eagarthóirí díreacha ar an mtuismithearsamhail, ach spreagfadh sé modh ``save () `an tuismitheora samhail, agus cuirfeadh sé ina chúis le láimhseálaithe comharthaí réamhshábhála agus iar-shábhála a ghairm Is méadú pribhléide é seo mar níor cheart go mbeadh úsáideoir nach bhfuil cead aige samhail a chur in eagar in ann a chomharthaí a bhaineann le sábháil a spreagadh.

Chun an cheist seo a réiteach, athraíodh cód láimhseála ceada comhéadan riaracháin Django. Anois, mura bhfuil ach an cead “amharc” ag úsáideoir do mhúnla tuismitheora, ní bheidh an fhoirm iomlán a thaispeántar in-eagarthóireachta, fiú má tá cead ag an úsáideoir samhlacha atá san áireamh in inlíne a chur in eagar.

Is athrú neamh-chomhoiriúnach é seo, agus tá foireann slándála Django ar an eolas go raibh roinnt úsáideoirí Django ag brath ar an gcumas eagarthóireacht inlíne a cheadú i bhfoirm riaracháin tuismitheora samhail tuismitheora amháin a fheiceáil ar shlí eile.

Mar gheall ar chastacht riaracháin Django, agus go háirithe na seiceálacha a bhaineann le ceadanna, is é tuairim fhoireann slándála Django go raibh an t-athrú seo riachtanach: nach féidir faoi láthair an t-iompar atá ann a choinneáil agus éalú ón méadú pribhléid féideartha ar bhealach a sheachnódh athdhéanamh saincheisteanna den todhchaí, agus a bheadh sin comhoiriúnach le fealsúnach* sábháilte Django.

De thuras na huaire, ba cheart d’fhorbróirí a bhfuil tionchar ag an athrú seo ar a bhfeidhmchláir in áit úsáid na n-inlínte i dtuismitheoirí inléite amháin le foirmeacha saincheaptha agus tuairimí a chuireann an fheidhmiúlacht atá ag teastáil i bhfeidhm go sainráite. San fhadtéarma, d’fhéadfadh sé tarlú i Django féin go gcuirfí meicníocht dhoiciméadaithe, tacaithe agus tástálaithe i gceart le haghaidh foirmeacha ilmhúnla in-eagarthóireachta i bpáirt leis an gcomhéadan riaracháin.

BuigdheisiúcháinLink to this heading#

• Socraíodh féidearthacht caillteanais sonraí i radharc an <formset-prefix>liosta athraithe riaracháin nuair a bhíonn carachtair speisialta léirithe rialta i réimír saincheap:ref: formset, m.sh. ``'$' (:ticket: 31031).

• Socraigh aischéimniú i Django 2.2.1 a bhí ina chúis le timpiste agus ceadanna á imirce do mhúnlaí seachfhreastalaí le socrú iolrach bunachar sonraí má bhí an iontráil ``réamhshocraithe ``folamh (:ticket: 31021).

• Fixed a data loss possibility in the select_for_update(). When using 'self' in the of argument with multi-table inheritance, a parent model was locked instead of the queryset's model (#30953).