Django 1.8.14 版本发行说明

2016 年 7 月 18 日

Django 1.8.14 修复了 1.8.13 版本中的一个安全问题和一个错误。

管理员的添加/更改相关弹出窗口中存在 XSS 漏洞。

不安全地使用 JavaScript 的 Element.innerHTML 可能会导致在管理员的添加/修改相关弹出窗口中发生 XSS。现在使用 Element.textContent 来防止数据的执行。

调试视图也使用了 innerHTML。尽管在那里没有识别出安全问题，但为了谨慎起见，它也被更新为使用 textContent。

漏洞修复

  • 在 PostgreSQL 上使用 AddField 时，修复了 CharField 和 TextField 上缺少的 varchar/text_pattern_ops 索引 (#26889)。