CVE-2026-114137 in Django REST Framework
Zusammenfassung
von VulDB • 21.10.2026
Django REST framework ist ein Toolkit zum Erstellen von Web-APIs. Von Version 3.12.0 bis 3.18.2 verwendet TokenProxy.delete() in rest_framework/authtoken/models.py die user-id pk des Proxys, während der primäre Schlüssel (primary key) für den konkreten Token-Token-String Zeilen identifiziert; daher führt Django eine Löschabfrage aus, die keine Zeile trifft und null gelöschte Zeilen meldet, ohne einen Fehler zu melden. Anwendungen, administrative Integrationen oder operative Skripts, die Anmeldeinformationen über eine TokenProxy-Instanz widerrufen, können daher fälschlicherweise annehmen, der Widerruf sei erfolgreich gewesen, während das Token weiterhin aktiv ist und sich authentifiziert. Der von DRF selbst verwendete Workaround TokenAdmin.delete_model ist davon nicht betroffen, andere Aufrufer können jedoch den Zugriff unbegrenzt offen lassen, da DRF-Tokens nicht automatisch ablaufen. Dieses Problem wurde in Version 3.18.2 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.