# Django 6.0.7 documentation

# Django 3.2.22 版本发行说明

2023 年 10 月 4 日

Django 3.2.22 修复了在 3.2.21 中的一个安全问题，安全级别为 "moderate"。

## CVE-2023-43665: `django.utils.text.Truncator` 中的可能导致拒绝服务的漏洞

在修复了 CVE 2019-14232 后，重新审查并改进了 `django.utils.text.Truncator` 的 `chars()` 和 `words()` 方法（使用 `html=True`）中使用的正则表达式。但是，这些正则表达式仍然表现出线性回溯复杂性，因此如果输入一个非常长且可能格式不正确的 HTML 输入，评估仍然会很慢，从而导致潜在的拒绝服务漏洞。

`chars()` 和 `words()` 方法用于实现 `truncatechars_html` 和 `truncatewords_html` 模板过滤器，因此这些模板过滤器也存在漏洞。

为了避免潜在的性能和内存问题，当以 HTML 模式运行时，`Truncator` 处理的输入已被限制为前五百万个字符。