# Django 5.2.8 documentation

# Django 1.7.6 版本发行说明

2015 年 3 月 9 日

Django 1.7.6 修复了 1.7.5 版本中的一个安全问题和一些错误。

## 通过 `ModelAdmin.readonly_fields` 中的属性缓解了XSS攻击

Django admin 中的 `ModelAdmin.readonly_fields` 属性允许显示模型字段和模型属性。虽然前者已经正确转义，但后者没有。因此，不受信任的内容可能会被注入到管理界面，从而构成了 XSS 攻击的利用向量。

在这个漏洞中，`readonly_fields` 中使用的每个模型属性，如果不是实际的模型字段（例如一个 `property`），即使该属性未标记为安全，也会 未经转义而失败。在这个版本中，现在正确地应用了自动转义。

## 漏洞修复

- 修复了将 `ManyRelatedManager` 强制转换为字符串时的崩溃问题（#24352）。

- 修复了一个 bug，当将现有字段转换为外键时，阻止迁移添加外键约束的问题（#24447）。