---
title: "Django 4.1.12 版本发行说明"
version: 6.0
locale: zh-hans
source: https://docs.djangoproject.com/zh-hans/6.0/releases/4.1.12/
canonical: https://djangodocs.dev/zh-hans/6.0/releases/4.1.12/
---
# Django 4.1.12 版本发行说明

*2023 年 10 月 4 日*

Django 4.1.12 修复了 4.1.11 版本中一些"中等"严重性的安全问题。

## CVE-2023-43665: `django.utils.text.Truncator` 中的可能导致拒绝服务的漏洞

在修复了 [**CVE 2019-14232**](https://www.cve.org/CVERecord?id=CVE-2019-14232) 后，重新审查并改进了 `django.utils.text.Truncator` 的 `chars()` 和 `words()` 方法（使用 `html=True`）中使用的正则表达式。但是，这些正则表达式仍然表现出线性回溯复杂性，因此如果输入一个非常长且可能格式不正确的 HTML 输入，评估仍然会很慢，从而导致潜在的拒绝服务漏洞。

`chars()` 和 `words()` 方法用于实现 [`truncatechars_html`](/zh-hans/6.0/ref/templates/builtins/#std-templatefilter-truncatechars_html) 和 [`truncatewords_html`](/zh-hans/6.0/ref/templates/builtins/#std-templatefilter-truncatewords_html) 模板过滤器，因此这些模板过滤器也存在漏洞。

为了避免潜在的性能和内存问题，当以 HTML 模式运行时，`Truncator` 处理的输入已被限制为前五百万个字符。