CVE-2026-114138 in Django REST Framework
Zusammenfassung
von VulDB • 21.10.2026
Django REST framework ist ein Toolkit zum Erstellen von Web-APIs. Vor Version 3.18.2 akzeptiert `DefaultContentNegotiation.get_accept_list` in `rest_framework/negotiation.py` eine unbegrenzte Anzahl und Gesamtgröße an Accept-Tokens, während `select_renderer` in derselben Datei für jedes vom Angreifer kontrollierte Token, jeden Renderer und erzwungene 406-Neuverhandlungen wiederholt die `_MediaType`-Parsing-Funktion aus `rest_framework/utils/mediatypes.py` aufruft. Ein entfernter, nicht authentifizierter Client kann viele verschiedene Medientypen mit großen, in Anführungszeichen gesetzten Parameterwerten und zahlreichen Semikolons senden, was dazu führt, dass der Parameterparser von Django und die wiederholte Parsing-Struktur von DRF unverhältnismäßig viel CPU-Ressourcen verbrauchen. Anfragen an jeden erreichbaren Endpunkt können synchrone Worker für längere Zeit blockieren (pinning), und gleichzeitige Anfragen können den Dienst so lange unbrauchbar machen, bis die Anfragen gestoppt werden. Dieses Problem wurde in Version 3.18.2 behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.