Примечания к выпуску Django 1.4.8 ¶
14 сентября 2013 г.
Django 1.4.8 исправляет две проблемы безопасности, присутствующие в предыдущих выпусках Django серии 1.4.
Отказ в обслуживании через хэшеры паролей ¶
В предыдущих версиях Django не было ограничений на длину пароля для жалобы. Это позволяло проводить атаку типа «отказ в обслуживании» путем отправки поддельных, но очень больших паролей, связывая ресурсы сервера с выполнением (дорогостоящим и все более дорогостоящим с учетом длины пароля) вычисления соответствующего хэша.
Начиная с версии 1.4.8, структура аутентификации Django накладывает ограничение на пароли в 4096 байт и не выполняет аутентификацию с любым отправленным паролем большей длины.
Исправлено использование sensitive_post_parameters() в django.contrib.auth админке ¶
Оформление представлений администратора add_view и user_change_password пользователя с помощью sensitive_post_parameters()
не включено method_decorator() (требуется, поскольку представления являются методами), что приводит к неправильному применению декоратора. Это использование было исправлено и
sensitive_post_parameters() теперь будет вызывать исключение, если оно используется неправильно.