---
title: "Django 5.0.8 リリースノート"
version: 5.2
locale: ja
source: https://docs.djangoproject.com/ja/5.2/releases/5.0.8/
canonical: https://djangodocs.dev/ja/5.2/releases/5.0.8/
---
# Django 5.0.8 リリースノート

*2024年8月6日*

Django 5.0.8 では、5.0.7 におけるセキュリティの問題のうち深刻度 "high" 1件、深刻度 "moderate" 3件を含め、 いくつかのバグを修正しました。

## CVE-2024-41989: `django.utils.numberformat.floatformat()` における過剰なメモリ消費

[`floatformat`](/ja/5.2/ref/templates/builtins/#std-templatefilter-floatformat) が指数部が大きい科学的表記の数値文字列を受け取った場合、著しいメモリ消費が発生する可能性があります。

これを避けるために、200桁を超える decimal はそのまま返されるようになりました。

## CVE-2024-41990: `django.utils.html.urlize()` における潜在的なサービス拒否（DoS）の脆弱性

[`urlize`](/ja/5.2/ref/templates/builtins/#std-templatefilter-urlize) および [`urlizetrunc`](/ja/5.2/ref/templates/builtins/#std-templatefilter-urlizetrunc) フィルタには、特定の文字列シーケンスを含む非常に大きな入力を介したサービス拒否（DoS）攻撃の可能性がありました。

## CVE-2024-41991: `django.utils.html.urlize()` および `AdminURLFieldWidget` における潜在的なサービス拒否（DoS）の脆弱性

[`urlize`](/ja/5.2/ref/templates/builtins/#std-templatefilter-urlize)、[`urlizetrunc`](/ja/5.2/ref/templates/builtins/#std-templatefilter-urlizetrunc)、および `AdminURLFieldWidget` は、非常に多くのUnicode文字を含む特定の入力を介したサービス拒否（DoS）攻撃の可能性がありました。

## CVE-2024-42005: `QuerySet.values()` および `values_list()` におけるSQLインジェクションの可能性

モデルの `JSONField` を持つ [`QuerySet.values()`](/ja/5.2/ref/models/querysets/#django.db.models.query.QuerySet.values) メソッドおよび [`values_list()`](/ja/5.2/ref/models/querysets/#django.db.models.query.QuerySet.values_list) メソッドは、細工されたJSONオブジェクトのキーが `*arg` として渡されることで、列エイリアスでSQLインジェクションの影響を受ける可能性がありました。

## バグ修正

- `UniqueConstraint(nulls_distinct=False)` を `*expressions` と共に使用する際にバリデーションが欠落していたため、追加しました ([#35594](https://code.djangoproject.com/ticket/35594))。
- Django 5.0 で、`ModelAdmin.action_checkbox` が `__html__` メソッドを持つモデルインスタンスをレンダリングする際に、管理画面のチェンジリストHTMLページが壊れる可能性があったリグレッションを修正しました ([#35606](https://code.djangoproject.com/ticket/35606))。
- `Field.db_default` を持つモデルを作成する際に、`__endswith`、`__startswith`、または `__contains` ルックアップで構成される `Meta.constraints` 制約が原因でクラッシュする問題を修正しました ([#35625](https://code.djangoproject.com/ticket/35625))。
- Django 5.0.7 で、500文字を超える言語コードを処理する際に `LocaleMiddleware` がクラッシュするリグレッションを修正しました ([#35627](https://code.djangoproject.com/ticket/35627))。
- Django 5.0 で、`ModelAdmin.date_hierarchy` が `DateField` または `DateTimeField` の `output_field` を持つ `GeneratedField` であった場合にシステムチェックがクラッシュするバグを修正しました ([#35628](https://code.djangoproject.com/ticket/35628))。
- Django 5.0 で、`Field.db_default` を使用するフィールドを参照する制約に対して、制約のバリデーションがクラッシュするか、誤ってバリデーションエラーを発生させる問題を修正しました ([#35638](https://code.djangoproject.com/ticket/35638))。
- Django 5.0 で、`db_default` が設定された `FileField` を含むモデルを保存する際にクラッシュする問題を修正しました ([#35657](https://code.djangoproject.com/ticket/35657))。