Django 1.9.10 发行说明

2016 年 9 月 26 日

Django 1.9.10 修复了 1.9.9 中的安全问题。

使用 Google Analytics 在站点上绕过 CSRF 保护

Google Analytics 和 Django 的 cookie 解析之间的交互可能允许攻击者设置任意 cookie，从而绕过 CSRF 保护。

request.COOKIES 的解析器被简化以更好地匹配浏览器的行为并减轻这种攻击。 request.COOKIES 现在可能包含根据 RFC 6265 无效的 cookie，但可以通过 document.cookie 进行设置。