CVE-2026-114136 in Django REST Framework
Riassunto
di VulDB • 22/10/2026
Django REST framework è un toolkit per la creazione di API Web. Dalla versione 3.6.4 alla 3.18.2, il metodo `JSONParser.parse` in `rest_framework/parsers.py` utilizza il valore charset Content-Type fornito dal client con `codecs.getreader`, che accetta codec di trasformazione dei byte come `bz2_codec` anziché solo codifiche testuali. Un cliente remoto non autenticato può quindi causare l'espansione del corpo della richiesta JSON compressa dopo che Django ha applicato il limite `DATA_UPLOAD_MAX_MEMORY_SIZE` esclusivamente ai byte trasmessi in rete, consentendo a una richiesta molto piccola di consumare una quantità significativa di memoria per ogni worker (per-worker memory). L'impostazione predefinita dei parser è sufficiente e qualsiasi endpoint raggiungibile che accetta un corpo JSON è interessato. Questo problema è stato risolto nella versione 3.18.2.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.