# Dokumentasi Django 5.2.8

# Catatan terbitan Django 1.9.11

1 November 2016

Django 1.9.11 memperbaiki dua masalah keamanan di 1.9.10.

## Pengguna dengan sandi kode keras dibuat ketika menjalankan percobaan pada Oracle

Ketika menjalankan percobaan dengan basisdata Oracle, Django membuat basisdata sementara pengguna. Di versi terlama, jika sandi tidak secara manual ditentukan di pengaturan basisdata kamus `TEST`, sebuah kode keras sandi digunakan. Inidapat mengizinkan penyerang dengan akses jaringan ke peladen basisdata untuk terhubung.

Pengguna ini biasanya dibuang setelah rangkaian percobaan selesai, tetapi tidak ketika menggunakan pilihan `manage.py test --keepdb` atau jika pengguna mempunyai sesi aktif (seperti seorang hubungan penyerang).

Secara acak sandi dibangkitkan sekarang digunakan untuk setiap pejalan percobaan.

## Kerentanan pengikatan kembali DNS ketika `DEBUG=True`

Versi terlama dari Django tidak mensahakn kepala `Host` terhadap `settings.ALLOWED_HOSTS` ketika `settings.DEBUG=True`. Ini membuat mereka rentan pada DNS rebinding attack.

Selagi Django tidak dibekali modul yang mengizinkan pengerjaan kode secara terpencil, ini setidaknya vektor cross-site scripting, yang dapat sangat serius jika pengembang memuat salinan dari basisdata produksi di pengembangan atau terhubung ke beberapa layanan produksi untuk dimana tidak ada instance pengembangan, sebagai contoh. Jika sebuah proyek menggunakan sebuah paket seperti `django-debug-toolbar`, kemudian penyerang dapa menjalankan SQL yang berubah-ubah, yang dapat khususnya buruk jika pengembang terhubung ke basisdata dengan akun superuser.

`settings.ALLOWED_HOSTS` sekarang disahkan meskipun `DEBUG`. Untuk kemnyamanan, jika `ALLOWED_HOSTS` adalah kosong dan `DEBUG=True`, perbedaan berikut dari localhost diizinkan `['localhost', '127.0.0.1', '::1']`. Jika berkas pengaturan lokal anda mempunyai produksi anda nilai `ALLOWED_HOSTS`, anda harus sekarang menghilangkan itu untuk mendapatkan nilai fallback tersebut.