---
title: "Django 2.1.11 versionsinformation"
version: 5.2
locale: sv
source: https://docs.djangoproject.com/sv/5.2/releases/2.1.11/
canonical: https://djangodocs.dev/sv/5.2/releases/2.1.11/
---
# Django 2.1.11 versionsinformation

*1 augusti 2019*

Django 2.1.11 åtgärdar säkerhetsproblem i 2.1.10.

## CVE-2019-14232: Denial-of-service-möjlighet i `django.utils.text.Truncator`

Om `django.utils.text.Truncator`’s `chars()` och `words()` metoder fick argumentet `html=True`, var de extremt långsamma att utvärdera vissa indata på grund av en katastrofal backtracking-sårbarhet i ett reguljärt uttryck. Metoderna `chars()` och `words()` används för att implementera mallfiltren [`truncatechars_html`](/sv/5.2/ref/templates/builtins/#std-templatefilter-truncatechars_html) och [`truncatewords_html`](/sv/5.2/ref/templates/builtins/#std-templatefilter-truncatewords_html), som därmed var sårbara.

De reguljära uttryck som används av `Truncator` har förenklats för att undvika potentiella backtracking-problem. Som en följd av detta kan efterföljande skiljetecken nu ibland inkluderas i den trunkerade utmatningen.

## CVE-2019-14233: Denial-of-service-möjlighet i `strip_tags()`

På grund av beteendet hos den underliggande `HTMLParser` skulle ``django.utils.html.strip_tags`()`` vara extremt långsam när den utvärderade vissa indata som innehöll stora sekvenser av nästlade ofullständiga HTML-enheter. Metoden `strip_tags()` används för att implementera motsvarande [`striptags`](/sv/5.2/ref/templates/builtins/#std-templatefilter-striptags) mallfilter, som därmed också var sårbart.

`strip_tags()` undviker nu rekursiva anrop till `HTMLParser` när framsteg med att ta bort taggar, men nödvändigtvis ofullständiga HTML-enheter, slutar göras.

Kom ihåg att det absolut INTE ges någon garanti för att resultatet av `strip_tags()` är HTML-säkert. Så markera ALDRIG resultatet av ett `strip_tags()`-anrop som säkert utan att först escapa det, till exempel med [`django.utils.html.escape()`](/sv/5.2/ref/utils/#django.utils.html.escape).

## CVE-2019-14234: SQL-injektionsmöjlighet i nyckel- och indexuppslagningar för `JSONField`/`HStoreField`

[`Key and index lookups`](/sv/5.2/topics/db/queries/#std-fieldlookup-jsonfield.key) for
`django.contrib.postgres.fields.JSONField` and [`key lookups`](/sv/5.2/ref/contrib/postgres/fields/#std-fieldlookup-hstorefield.key) for [`HStoreField`](/sv/5.2/ref/contrib/postgres/fields/#django.contrib.postgres.fields.HStoreField)
were subject to SQL injection, using a suitably crafted dictionary, with
dictionary expansion, as the `**kwargs` passed to `QuerySet.filter()`.

## CVE-2019-14235: Potentiell minnesutmattning i `django.utils.encoding.uri_to_iri()`

Om vissa indata godkänns kan [`django.utils.encoding.uri_to_iri()`](/sv/5.2/ref/utils/#django.utils.encoding.uri_to_iri) leda till betydande minnesanvändning på grund av överdriven rekursion vid ompercent-encoding av ogiltiga UTF-8 oktettsekvenser.

`uri_to_iri()` undviker nu rekursion vid ompercent-kodning av ogiltiga UTF-8 oktettsekvenser.