# Django 5.2.9 ドキュメント

# Django 4.0.1 リリースノート

2022年1月4日

Django 4.0.1 では、 4.0 におけるセキュリティの問題のうち深刻度 "medium" 1件、深刻度 "low" 2件を含め、いくつかのバグを修正しました。

## CVE-2021-45115: `UserAttributeSimilarityValidator` におけるサービス拒否攻撃 (DoS) の可能性

`UserAttributeSimilarityValidator` incurred significant overhead evaluating submitted password that were artificially large in relative to the comparison values. On the assumption that access to user registration was unrestricted this provided a potential vector for a denial-of-service attack.

In order to mitigate this issue, relatively long values are now ignored by `UserAttributeSimilarityValidator`.

この問題は Django セキュリティポリシー に基づき深刻度 "medium" と判定されました。

## CVE-2021-45116: `dictsort` テンプレートフィルタ内の潜在的な情報漏洩

Due to leveraging the Django Template Language's variable resolution logic, the `dictsort` template filter was potentially vulnerable to information disclosure or unintended method calls, if passed a suitably crafted key.

In order to avoid this possibility, `dictsort` now works with a restricted resolution logic, that will not call methods, nor allow indexing on dictionaries.

As a reminder, all untrusted user input should be validated before use.

この問題は Django セキュリティポリシー に基づき深刻度 "medium" と判定されました。

## CVE-2021-45452: `Storage.save()` 経由の潜在的なディレクトリトラバーサル

適切に組み立てられたファイル名が直接渡された場合に、`Storage.save()` がディレクトリトラバーサルを許可してしまっていました。

この問題は Django セキュリティポリシー に基づき深刻度 "medium" と判定されました。

## バグ修正

- Django 4.0 において、 `form` という名前のフォームセットに対して `assertFormsetError()` がクラッシュする問題 (#33346) を修正しました。

- Fixed a bug in Django 4.0 that caused a crash on booleans with the `RedisCache` backend (#33361).

- Relaxed the check added in Django 4.0 to reallow use of a duck-typed `HttpRequest` in `django.views.decorators.cache.cache_control()` and `never_cache()` decorators (#33350).

- Fixed a regression in Django 4.0 that caused creating bogus migrations for models that reference swappable models such as `auth.User` (#33366).

- Fixed a long standing bug in ジオメトリのコレクション and `Polygon` that caused a crash on some platforms (reported on macOS based on the `ARM64` architecture) (#32600).