Django 安全更新发布：5.1.1、5.0.9 和 4.2.16
原文英文，约200词，阅读约需1分钟。
📝
内容提要
Django发布了5.1.1、5.0.9和4.2.16版本的安全更新，修复了两个安全问题。
🔎
延伸解读
漏洞严重性评估
根据Django安全策略，CVE-2024-45230被评定为“中危”，CVE-2024-45231为“低危”。中危漏洞可能通过特定字符序列的大输入导致拒绝服务，影响服务可用性；低危漏洞则可能允许攻击者枚举用户邮箱，但利用条件相对有限。用户应根据自身应用暴露程度评估风险，但官方仍建议所有用户升级。
受影响版本与升级建议
本次安全更新覆盖Django 5.1、5.0和4.2三个受支持版本，分别对应5.1.1、5.0.9和4.2.16。使用这些版本的用户应尽快升级至修复版本。对于不再受支持的旧版本，官方未提供补丁，用户需考虑升级到受支持版本或自行评估风险。
密码重置漏洞的缓解措施
针对CVE-2024-45231，Django在密码重置邮件发送失败时，现在会捕获异常并使用django.contrib.auth日志记录器记录，而不是直接暴露错误状态。这有助于防止攻击者通过响应差异枚举用户邮箱。开发者应确保日志配置合理，以便监控此类异常。
❓
Q&A
Django 5.1.1、5.0.9 和 4.2.16 更新了什么内容？
这些版本的更新修复了两个安全问题。
CVE-2024-45230漏洞是什么？
CVE-2024-45230是django.utils.html.urlize()中的潜在拒绝服务漏洞。
Django用户应该如何处理这些安全更新？
建议所有Django用户尽快升级到最新版本。
CVE-2024-45231漏洞的影响是什么？
该漏洞可能导致用户邮箱枚举，攻击者可以通过密码重置请求观察结果来识别用户邮箱。
哪些Django版本受到影响？
受影响的版本包括Django 5.1、5.0和4.2。
Django的安全更新发布政策是什么？
Django团队根据安全发布政策定期发布安全更新以修复漏洞。
🏷️
