Django 安全更新发布：5.0.3、4.2.11 和 3.2.25
内容提要
Django发布了安全更新版本5.0.3、4.2.11和3.2.25，修复了一个正则表达式拒绝服务漏洞。建议用户尽快升级。
延伸解读
漏洞影响范围与触发条件
本次修复的CVE-2024-27351是一个正则表达式拒绝服务漏洞，影响django.utils.text.Truncator.words()方法（当html=True时）以及truncatewords_html模板过滤器。攻击者可以通过构造特定字符串触发该漏洞，导致服务不可用。该漏洞是CVE-2019-14232和CVE-2023-43665的后续，表明相关代码路径曾多次出现类似问题。
受影响的Django版本
根据Django安全政策，受影响的支持版本包括Django 5.0、4.2和3.2。这些版本的用户都应尽快升级到相应的安全版本：5.0.3、4.2.11或3.2.25。使用其他版本的用户也应考虑升级到受支持版本，以获取安全修复。
严重性评估与修复建议
该漏洞的严重性被Django安全团队评估为“中等”。虽然不如“高”或“严重”级别紧迫，但拒绝服务攻击可能影响服务的可用性，因此建议所有用户尽快升级。升级是修复该漏洞的最直接方式，无需修改代码。
Q&A
Django 最近发布了哪些安全更新版本？
Django 发布了 5.0.3、4.2.11 和 3.2.25 三个安全更新版本。
CVE-2024-27351 漏洞影响哪些 Django 组件？
该漏洞影响 django.utils.text.Truncator.words() 方法（当 html=True 时）和 truncatewords_html 模板过滤器。
CVE-2024-27351 漏洞的严重性如何？
根据 Django 安全政策，该漏洞的严重性被评估为“中等”（moderate）。
哪些 Django 版本受到 CVE-2024-27351 漏洞的影响？
受影响的支持版本包括 Django 5.0、4.2 和 3.2。
CVE-2024-27351 漏洞是什么类型的攻击？
这是一个正则表达式拒绝服务（ReDoS）漏洞，攻击者可以通过精心构造的字符串触发。
针对这个安全漏洞，Django 官方给出了什么建议？
Django 团队鼓励所有用户尽快升级到最新版本。
