Django 3.1.13 版本发行说明¶

2021 年 7 月 1 日

Django 3.1.13 修复了 3.1.12 中严重程度为 “高” 的安全问题。

CVE-2021-35042：通过未检验的 `QuerySet.order_by()` 输入进行潜在的 SQL 注入¶

传递给 QuerySet.order_by() 的未经检验的用户输入可能会绕过标记为废弃的路径中的预期列引用验证，导致潜在的 SQL 注入，即使已发出废弃警告。

作为一种缓解措施，严格的列引用验证在废弃期间被恢复了。这个缺陷出现在 3.1 中，是修复 #31426 的副作用。

这个问题不存在于主分支中，因为废弃的路径已经被删除。