# Django 6.0.7 documentation

# Django 4.0.2 版本发行说明

2022 年 2 月 1 日

Django 4.0.2 修复了两个"中等"严重性的安全问题，以及 4.0.1 版本中的几个错误。此外，最新的 Transifex 字符串翻译已经整合，特别提及保加利亚语（完全翻译）。

## CVE-2022-22818: 可能通过 `{% debug %}` 模板标签进行跨站脚本攻击 (XSS) 攻击

`{% debug %}` 模板标签没有正确编码当前上下文，存在跨站脚本攻击 (XSS) 攻击风险。

为了避免这个漏洞，当 `DEBUG` 设置为 `False` 时，`{% debug %}` 不再输出信息，并且在 `DEBUG` 设置为 `True` 时，它确保所有上下文变量都正确地进行了转义。

## CVE-2022-23833 : 文件上传中可能存在拒绝服务漏洞。

传递特定的输入到多部分表单可能导致在解析文件时进入无限循环。

## 漏洞修复

- 修复了 Django 4.0 中的一个 bug，该 bug 导致 `TestCase.captureOnCommitCallbacks()` 可能会多次执行回调函数（#33410）。

- 修复了 Django 4.0 中的一个回归问题，该问题导致在自动生成的表单中对 `help_text` 进行 HTML 转义（#33419）。

- 修复了 Django 4.0 中的一个回归问题，该问题导致在技术性 404 调试页面上显示类基视图的不正确名称（#33425）。

- 修复了 Django 4.0 中的一个回归问题，该问题导致类基视图的 `ResolverMatch` 的 `repr` 不正确（#33426）。

- 修复了 Django 4.0 中的一个回归问题，该问题导致在没有 `Meta.order_with_respect_to` 但具有名为 `_order` 的字段的模型上运行 `makemigrations` 时崩溃（#33449）。

- 修复了 Django 4.0 中的一个回归问题，该问题导致管理员中 `ModelAdmin.radio_fields` 布局不正确（#33407）。

- 修复了 Django 4.0 中的一个重复操作回归问题，该问题导致在更改外键引用的具体父模型的主键类型时，迁移崩溃（#33462）。

- 修复了 Django 4.0 中的一个 bug，该 bug 导致在对带有 default 的聚合函数进行 `annotate()` 后调用 `QuerySet.aggregate()` 时崩溃（#33468）。

- 修复了 Django 4.0 中的一个回归问题，该问题导致在重命名模型的字段时运行 `makemigrations` 时崩溃（#33480）。