CVE-2026-114138
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 36 - wyżej niż 36% wszystkich znanych CVE
Streszczenie
Django REST framework to zestaw narzędzi do budowania API sieciowych. Przed wersją 3.18.2 funkcja DefaultContentNegotiation.get_accept_list w rest_framework/negotiation.py akceptuje nieograniczoną liczbę i łączny rozmiar tokenów Accept, podczas gdy select_renderer w tym pliku wielokrotnie wywołuje parsowanie _MediaType z rest_framework/utils/mediatypes.py dla każdego tokenu kontrolowanego przez atakującego, każdego renderera i wymuszonej renegocjacji 406. Zdalny nieuwierzytelniony klient może wysłać wiele odrębnych typów mediów zawierających duże wartości parametrów w cudzysłowach z licznymi średnikami, powodując nieproporcjonalne zużycie CPU przez parser parametrów Django i powtarzalną strukturę parsowania DRF. Żądania do dowolnego osiągalnego endpointu mogą blokować synchroniczne workery na dłuższy czas, a równoczesne żądania mogą spowodować niedostępność usługi do momentu zaprzestania żądań. Problem naprawiono w wersji 3.18.2.
Ocena ryzyka
Nieuwierzytelniony atakujący może zdalnie spowodować odmowę usługi poprzez wyczerpanie zasobów CPU, blokując dostęp do API dla legalnych użytkowników. Może to zakłócić działanie aplikacji opartych na Django REST framework.
Rekomendacja
Zaktualizuj Django REST framework do wersji 3.18.2 lub nowszej. Rozważ wdrożenie limitów na poziomie reverse proxy lub load balancera w celu ograniczenia liczby i rozmiaru nagłówków Accept.
Inne podatności w Django REST framework
Zobacz wszystkie- CVE-2026-114137Wysokie
W Django REST framework od wersji 3.12.0 do 3.18.2 metoda TokenProxy.delete() używa identyfikatora użytkownika jako klucza głównego, podczas gdy rzeczywiste wiersze identyfikuje ciąg tokena, przez co Django wykonuje zapytanie usuwające, które nie pasuje do żadnego wiersza i zgłasza zero usunięć bez błędu. Aplikacje lub skrypty unieważniające poświadczenia przez TokenProxy mogą sądzić, że token został unieważniony, podczas gdy pozostaje on aktywny i nadal uwierzytelnia, a tokeny DRF nie wygasają automatycznie.
- CVE-2026-114136Wysokie
Django REST framework w wersjach od 3.6.4 do 3.18.2 używa wartości charset z nagłówka Content-Type dostarczonego przez klienta w codecs.getreader, akceptując kodeki transformujące bajty, takie jak bz2_codec. Pozwala to nieuwierzytelnionemu klientowi na przesłanie skompresowanego ciała JSON, które zostanie rozpakowane po sprawdzeniu DATA_UPLOAD_MAX_MEMORY_SIZE, zużywając znaczną pamięć na proces roboczy.
- CVE-2026-73229Średnie
Django REST framework przed wersją 3.17.2 ma podatność w AdminRenderer.render(), która używa override_method() do symulacji GET i bezpośrednio wywołuje view.get() bez view.check_permissions() podczas renderowania nieprawidłowego żądania zapisu, co pozwala odpowiedzi HTML 400 Bad Request ujawnić dane z reprezentacji GET, do której żądający nie ma uprawnień.
- CVE-2026-73228Średnie
Django REST framework przed wersją 3.17.2 ma podatność w parsowaniu request.data w rest_framework/request.py Request._parse(), która przekazuje strumień HttpRequest do JSONParser i FormParser dla ciał application/json i application/x-www-form-urlencoded, omijając ochronę DATA_UPLOAD_MAX_MEMORY_SIZE Django i pozwalając na nadmiernie duże ciała żądań zużywające dodatkową pamięć i CPU. Problem naprawiono w wersji 3.17.2.
Oryginalny opis (angielski, źródło NVD)
Django REST framework is a toolkit for building Web APIs. Prior to 3.18.2, DefaultContentNegotiation.get_accept_list in rest_framework/negotiation.py accepts an unbounded number and aggregate size of Accept tokens, while select_renderer in that file repeatedly invokes _MediaType parsing from rest_framework/utils/mediatypes.py for each attacker-controlled token, every renderer, and forced 406 renegotiation. A remote unauthenticated client can send many distinct media types containing large quoted parameter values with numerous semicolons, causing Django's parameter parser and DRF's repeated parsing structure to consume disproportionate CPU. Requests to any reachable endpoint can pin synchronous workers for prolonged periods, and concurrent requests can make the service unavailable until the requests stop. This issue is fixed in version 3.18.2.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS