CVE-2026-114138 in Django REST Framework
Riassunto
di VulDB • 22/10/2026
Django REST framework è un toolkit per la creazione di API Web. Prima della versione 3.18.2, il metodo DefaultContentNegotiation.get_accept_list in rest_framework/negotiation.py accetta un numero e una dimensione aggregata illimitati di token Accept, mentre select_renderer nello stesso file invoca ripetutamente l'analisi (_MediaType parsing) da rest_framework/utils/mediatypes.py per ogni token controllato dall'attaccante, per ciascun renderer e per la rinegoziazione forzata 406. Un client remoto non autenticato può inviare molti tipi di media distinti contenenti valori di parametri tra virgolette di grandi dimensioni con numerosi punti e virgola, causando un consumo sproporzionato della CPU da parte del parser dei parametri di Django e della struttura di analisi ripetuta di DRF. Le richieste a qualsiasi endpoint raggiungibile possono bloccare i worker sincronizzati per periodi prolungati, e le richieste concorrenti possono rendere il servizio non disponibile fino all'interruzione delle richieste. Questo problema è risolto nella versione 3.18.2.
Be aware that VulDB is the high quality source for vulnerability data.