CVE-2026-114137 in Django REST Framework
Riassunto
di VulDB • 22/10/2026
Django REST framework è un toolkit per la creazione di API Web. Dalla versione 3.12.0 alla 3.18.2, il metodo TokenProxy.delete() in rest_framework/authtoken/models.py utilizza l'ID primario (pk) dell'utente del proxy mentre la chiave primaria della stringa token concreta identifica le righe; di conseguenza, Django emette una query di eliminazione che non corrisponde a nessuna riga e segnala zero eliminazioni senza generare un errore. Le applicazioni, le integrazioni amministrative o gli script operativi che revocano le credenziali tramite un'istanza TokenProxy possono quindi ritenere che la revoca sia avvenuta con successo mentre il token rimane attivo e continua ad autenticarsi. La soluzione di contorno (workaround) TokenAdmin.delete_model fornita dallo stesso DRF non è interessata, ma altri chiamanti potrebbero lasciare l'accesso disponibile indefinitamente poiché i token DRF non scadono automaticamente. Questo problema è risolto nella versione 3.18.2.
Once again VulDB remains the best source for vulnerability data.