---
title: "Django 3.0.4 版本发行说明"
version: 4.2
locale: zh-hans
source: https://docs.djangoproject.com/zh-hans/4.2/releases/3.0.4/
canonical: https://djangodocs.dev/zh-hans/4.2/releases/3.0.4/
---
# Django 3.0.4 版本发行说明

*2020 年 3 月 4 日*

Django 3.0.4 修复了 3.0.3 版本中的一个安全问题和多个错误。

## CVE-2020-9402: 在 Oracle 上的 GIS 函数和聚合中，通过 `tolerance` 参数可能存在 SQL 注入风险。

在 Oracle 上的 GIS 函数和聚合存在 SQL 注入风险，使用适当构造的 `tolerance`。

## 漏洞修复

- 修复了在异步代码中使用缓存时可能导致数据丢失的问题 ([#31253](https://code.djangoproject.com/ticket/31253))。
- 修复了 Django 3.0 中的一个回归问题，该问题导致使用临时文件的文件响应被不正确地关闭 ([#31240](https://code.djangoproject.com/ticket/31240))。
- 修复了 [`select_for_update()`](/zh-hans/4.2/ref/models/querysets/#django.db.models.query.QuerySet.select_for_update) 中的数据丢失可能性。当在 `of` 参数中使用相关字段或父链接字段与 [多表继承](/zh-hans/4.2/topics/db/models/#multi-table-inheritance) 结合使用时，相应的模型没有被锁定 ([#31246](https://code.djangoproject.com/ticket/31246))。
- 修复了 Django 3.0 中的一个回归问题，该问题导致在 Oracle 上记录的 SQL 查询中参数位置不正确 ([#31271](https://code.djangoproject.com/ticket/31271))。
- 修复了 Django 3.0.3 中的一个回归问题，该问题导致在 MySQL 上在减去 `DateField` 或 `DateTimeField` 表达式时，SQL 查询的参数位置不正确 ([#31312](https://code.djangoproject.com/ticket/31312))。
- 修复了 Django 3.0 中的一个回归问题，该问题导致在 `GROUP BY` 子句中未包括跨多值关系的子查询 ([#31150](https://code.djangoproject.com/ticket/31150))。