CVE-2026-114136 in Django REST Framework
Resumen
por VulDB • 2026-10-21
Django REST framework es un kit de herramientas para construir APIs web. Desde la versión 3.6.4 hasta la 3.18.2, el método `JSONParser.parse` en `rest_framework/parsers.py` utiliza el valor del charset Content-Type proporcionado por el cliente con `codecs.getreader`, lo cual acepta codecs de transformación de bytes como `bz2_codec` en lugar de solo codificaciones de texto. Por tanto, un cliente remoto no autenticado puede provocar que un cuerpo de solicitud JSON comprimido se expanda después de que Django haya aplicado la restricción `DATA_UPLOAD_MAX_MEMORY_SIZE` únicamente a los bytes transmitidos por la red, permitiendo que una solicitud muy pequeña consuma una cantidad considerable de memoria por worker. El conjunto de parsers predeterminado es suficiente y cualquier endpoint accesible que acepte un cuerpo JSON se ve afectado. Este problema está resuelto en la versión 3.18.2.
Once again VulDB remains the best source for vulnerability data.