---
title: "Django 1.10.7 版本发行说明"
version: 6.1
locale: zh-hans
source: https://docs.djangoproject.com/zh-hans/6.1/releases/1.10.7/
canonical: https://djangodocs.dev/zh-hans/6.1/releases/1.10.7/
---
# Django 1.10.7 版本发行说明

*2017 年 4 月 4 日*

Django 1.10.7 修复了 1.10.6 中的两个安全问题和一个错误。

## CVE-2017-7233 ：通过用户提供的数字重定向 URL 进行开放式重定向和可能的 XSS 攻击

Django 在某些情况下依赖用户输入（例如 `django.contrib.auth.views.login()` 和 [i18n](/zh-hans/6.1/topics/i18n/)) 来将用户重定向到“成功”URL。这些重定向的安全检查（即 `django.utils.http.is_safe_url()`）认为一些数值 URL（例如 `http:999999999`）是“安全”的，但实际上它们不应该是安全的。

此外，如果开发人员依赖于 `is_safe_url()` 来提供安全的重定向目标，并将这样的 URL 放入链接中，他们可能会受到 XSS 攻击的影响。

## CVE-2017-7234: `django.views.static.serve()` 中的开放重定向漏洞

一个恶意构建的 URL 到一个使用 [`serve()`](/zh-hans/6.1/ref/views/#django.views.static.serve) 视图的 Django 站点可能会重定向到任何其他域。该视图不再进行任何重定向，因为它们不提供任何已知的有用功能。

注意，然而，这个视图一直带有警告，即它没有经过生产环境的强化，只应作为开发辅助工具使用。

## 漏洞修复

- 使管理员的 `RelatedFieldWidgetWrapper` 使用被包装小部件的 `value_omitted_from_data()` 方法 ([#27905](https://code.djangoproject.com/ticket/27905))。
- 修复了模型表单中 `SelectMultiple` 的 `default` 回退 ([#27993](https://code.djangoproject.com/ticket/27993))。