---
title: "Django 3.2.13 版本发行说明"
version: 5.2
locale: zh-hans
source: https://docs.djangoproject.com/zh-hans/5.2/releases/3.2.13/
canonical: https://djangodocs.dev/zh-hans/5.2/releases/3.2.13/
---
# Django 3.2.13 版本发行说明

*2022 年 4 月 11 日*

Django 3.2.13 修复了 3.2.12 版本中两个严重程度为"高"的安全问题，以及 3.2.4 版本中的一个回归问题。

## CVE-2022-28346: `QuerySet.annotate()`, `aggregate()`, 和 `extra()` 存在潜在的 SQL 注入漏洞

[`QuerySet.annotate()`](/zh-hans/5.2/ref/models/querysets/#django.db.models.query.QuerySet.annotate)、[`aggregate()`](/zh-hans/5.2/ref/models/querysets/#django.db.models.query.QuerySet.aggregate) 和 [`extra()`](/zh-hans/5.2/ref/models/querysets/#django.db.models.query.QuerySet.extra) 方法在列别名中存在 SQL 注入风险，如果传递给这些方法的 `**kwargs` 中使用了经过适当精心制作的带有字典扩展的字典。

## CVE-2022-28347: 在 PostgreSQL 上通过 `QuerySet.explain(**options)` 存在潜在的 SQL 注入漏洞

[`QuerySet.explain()`](/zh-hans/5.2/ref/models/querysets/#django.db.models.query.QuerySet.explain) 方法在选项名称中存在 SQL 注入风险，如果将经过适当精心制作的字典与字典扩展作为 `**options` 参数传递。

## 漏洞修复

- 修复了 Django 3.2.4 中的一个回归问题，该问题导致当 `TEMPLATES` 设置的 `DIRS` 选项包含空字符串时，自动重新加载器不再检测到更改 ([#33628](https://code.djangoproject.com/ticket/33628))。