Django 1.11.21 versionsinformationLink to this heading
3 juni 2019
Django 1.11.21 åtgärdar ett säkerhetsproblem i 1.11.20.
CVE-2019-12308: AdminURLFieldWidget XSSLink to this heading
Den klickbara länken ”Current URL” som genererades av AdminURLFieldWidget visade det angivna värdet utan att validera det som en säker URL. Således kan ett ogiltigt värde som lagras i databasen, eller ett värde som tillhandahålls som en URL-frågeparameters nyttolast, resultera i en klickbar JavaScript-länk.
AdminURLFieldWidget validerar nu det angivna värdet med hjälp av URLValidator` innan den klickbara länken visas. Du kan anpassa valideraren genom att skicka en validator_class kwarg till AdminURLFieldWidget.__init__(), t.ex. när du använder formfield_overrides.