Примечания к выпуску Django 3.0.4 ¶

CVE-2020-9402: потенциальная SQL-инъекция через tolerance параметр в функциях ГИС и агрегатах в Oracle ¶

Функции и агрегаты ГИС в Oracle подвергались SQL-инъекции с использованием специально созданного файла tolerance .

Исправления ¶

• Исправлена ​​возможность потери данных при использовании кеширования из асинхронного кода ( # 31253 ).
• Исправлена ​​регрессия в Django 3.0, из-за которой ответ файла с использованием временного файла закрывался некорректно ( # 31240 ).
• Исправлена ​​возможность потери данных в select_for_update() . При использовании связанных полей или полей родительской ссылки с наследованием нескольких таблиц в of аргументе соответствующие модели не были заблокированы ( # 31246 ).
• Исправлена ​​регрессия в Django 3.0, которая приводила к неправильному размещению параметров в регистрируемых SQL-запросах Oracle ( # 31271 ).
• Исправлена ​​регрессия в Django 3.0.3, которая приводила к неправильному размещению параметров SQL-запросов при вычитании DateField или DateTimeField выражениях в MySQL ( # 31312 ).
• Исправлена ​​регрессия в Django 3.0, которая не включала подзапросы, охватывающие многозначные отношения в предложении ( # 31150 ).GROUP BY