Django 发布安全更新：3.0.3、2.2.10 和 1.11.28
根据我们的安全发布政策，Django 团队发布了Django 3.0.3、Django 2.2.10 和Django 1.11.28。这些版本修复了以下安全问题。我们鼓励所有 Django 用户尽快升级。
受影响的支持版本
- Django 主分支
- Django 3.0
- Django 2.2
- Django 1.11
CVE-2020-7471：通过以下方式可能存在 SQL 注入StringAgg(delimiter)
django.contrib.postgres.aggregates.StringAgg聚合函数容易受到 SQL 注入攻击，使用精心构造的分隔符.
感谢 Simon Charette 报告并修复了此问题。
解决方案
已将解决此问题的补丁应用于 Django 的主分支和 3.0、2.2 和 1.11 发布分支。补丁可从以下更改集中获取
已发布以下版本
- Django 3.0.3 (下载 Django 3.0.3 | 3.0.3 校验和)
- Django 2.2.10 (下载 Django 2.2.10 | 2.2.10 校验和)
- Django 1.11.28 (下载 Django 1.11.28 | 1.11.28 校验和)
这些版本使用的 PGP 密钥 ID 为 Carlton Gibson：E17DF5C82B4F9D00。
关于安全报告的一般说明
与往常一样，我们要求您通过私人电子邮件将潜在的安全问题报告至security@djangoproject.com，而不是通过 Django 的 Trac 实例或 django-developers 列表。有关更多信息，请参阅我们的安全政策。
