---
title: "Django 1.8.18 版本发行说明"
version: 5.1
locale: zh-hans
source: https://docs.djangoproject.com/zh-hans/5.1/releases/1.8.18/
canonical: https://djangodocs.dev/zh-hans/5.1/releases/1.8.18/
---
# Django 1.8.18 版本发行说明

*2017 年 4 月 4 日*

Django 1.8.18 修复了 1.8.17 版本中的两个安全问题。

## CVE-2017-7233 ：通过用户提供的数字重定向 URL 进行开放式重定向和可能的 XSS 攻击

Django 在某些情况下依赖用户输入（例如 `django.contrib.auth.views.login()` 和 [i18n](/zh-hans/5.1/topics/i18n/)) 来将用户重定向到“成功”URL。这些重定向的安全检查（即 `django.utils.http.is_safe_url()`）认为一些数值 URL（例如 `http:999999999`）是“安全”的，但实际上它们不应该是安全的。

此外，如果开发人员依赖于 `is_safe_url()` 来提供安全的重定向目标，并将这样的 URL 放入链接中，他们可能会受到 XSS 攻击的影响。

## CVE-2017-7234: `django.views.static.serve()` 中的开放重定向漏洞

一个恶意构建的 URL 到一个使用 [`serve()`](/zh-hans/5.1/ref/views/#django.views.static.serve) 视图的 Django 站点可能会重定向到任何其他域。该视图不再进行任何重定向，因为它们不提供任何已知的有用功能。

注意，然而，这个视图一直带有警告，即它没有经过生产环境的强化，只应作为开发辅助工具使用。