Django 安全更新发布：5.0.8 和 4.2.15
内容提要
Django发布了5.0.8和4.2.15版本的安全更新，修复了内存耗尽、拒绝服务和SQL注入等几个安全问题。建议用户尽快升级。
延伸解读
受影响版本与升级建议
本次安全更新影响 Django 5.1（当前为候选发布状态）、5.0 和 4.2 分支。官方建议所有用户尽快升级至 5.0.8 或 4.2.15 版本。对于使用开发分支 main 的用户，也需关注后续修复。及时升级可避免已知安全风险。
四个中危漏洞的具体影响
修复的四个漏洞均被评定为“中危”。其中，CVE-2024-41989 涉及 floatformat 模板过滤器处理科学计数法大指数时的内存耗尽；CVE-2024-41990 和 CVE-2024-41991 分别影响 urlize/urlizetrunc 过滤器及 AdminURLFieldWidget，可被特定输入触发拒绝服务；CVE-2024-42005 则是在 JSONField 模型上使用 values()/values_list() 时，通过构造 JSON 键可能引发 SQL 注入。
漏洞报告与修复来源
这些漏洞由多位安全研究人员发现并报告：Elias Myllymäki 报告了内存耗尽问题，MProgrammer 和 Seokchan Yoon 分别报告了拒绝服务漏洞，Eyal Gabay（EyalSec）报告了 SQL 注入问题。Django 团队遵循安全发布政策，在修复后迅速发布了更新版本。
Q&A
Django 5.0.8和4.2.15版本更新了什么内容？
这两个版本的更新修复了内存耗尽、拒绝服务和SQL注入等安全问题。
Django用户为什么需要尽快升级？
因为新版本修复了多个安全漏洞，升级可以保护应用免受潜在攻击。
CVE-2024-41989是什么问题？
CVE-2024-41989是django.utils.numberformat.floatformat()中的内存耗尽问题。
哪些Django版本受到影响？
受影响的版本包括Django 5.1、5.0和4.2。
CVE-2024-42005涉及哪些功能？
CVE-2024-42005涉及QuerySet.values()和values_list()方法，可能存在SQL注入风险。
Django的安全更新政策是什么？
Django团队会定期发布安全更新，以修复发现的安全问题，建议用户及时升级。
