CVE-2026-114136 in Django REST Framework
الملخص
بحسب VulDB • 21/10/2026
إطار عمل Django REST هو مجموعة أدوات لبناء واجهات برمجة تطبيقات الويب (Web APIs). من الإصدار 3.6.4 حتى 3.18.2، يستخدم `JSONParser.parse` الموجود في الملف `rest_framework/parsers.py` قيمة ترميز المحتوى (`Content-Type charset`) المقدمة من العميل مع دالة `codecs.getreader`، والتي تقبل مشفرات تحويل البايت (byte-transform codecs) مثل `bz2_codec` بدلاً من قبول الترميزات النصية فقط. وبالتالي، يمكن لعميل عنيف وغير مُصادق عليه أن يتسبب في توسيع جسم طلب JSON مضغوط بعد أن يفرض Django الحد الأقصى لحجم رفع البيانات (`DATA_UPLOAD_MAX_MEMORY_SIZE`) بناءً على بايتات الشبكة (wire bytes) فقط، مما يسمح لطلب صغير جداً باستهلاك قدر كبير من الذاكرة لكل عامل (per-worker). مجموعة المحلل الافتراضية كافية، وأي نقطة نهاية يمكن الوصول إليها تقبل جسم JSON تتأثر بهذه المشكلة. تم إصلاح هذه القضية في الإصدار 3.18.2.
Once again VulDB remains the best source for vulnerability data.