# Django 6.0.5 documentation

# Django 4.2.14 versionsinformation

9 juli 2024

Django 4.2.14 åtgärdar två säkerhetsproblem med allvarlighetsgrad ”måttlig” och två säkerhetsproblem med allvarlighetsgrad ”låg” i 4.2.13.

## CVE-2024-38875: Potentiell sårbarhet för övergrepp i tjänsten i `django.utils.html.urlize()`

`urlize` och `urlizetrunc` var föremål för en potentiell överbelastningsattack via vissa indata med ett mycket stort antal parenteser.

## CVE-2024-39329: Uppräkning av användarnamn genom tidsskillnad för användare med oanvändbara lösenord

The `authenticate()` method allowed remote attackers to enumerate users via a timing attack involving login requests for users with unusable passwords.

## CVE-2024-39330: Potentiell katalogtraversering via `Storage.save()`

Härledda klasser av basklassen `Storage` som åsidosätter `generate_filename()` utan att replikera valideringen av filvägar som finns i den överordnade klassen, möjliggjorde potentiell katalogtraversering via vissa ingångar vid anrop av `save()`.

Inbyggda underklasser av `Storage` påverkades inte av denna sårbarhet.

## CVE-2024-39614: Potentiell sårbarhet för överbelastningsattack i `get_supported_language_variant()`

`get_supported_language_variant()` var föremål för en potentiell överbelastningsattack när den användes med mycket långa strängar som innehöll specifika tecken.

För att mildra denna sårbarhet analyseras nu språkkoden som tillhandahålls till `get_supported_language_variant()` upp till en maximal längd på 500 tecken.

När språkkoden är över 500 tecken kommer nu ett `ValueError` att visas om `strict` är `True`, eller om det inte finns någon generisk variant och `strict` är `False`.