CVE-2026-114137 in Django REST Framework
요약
\~에 의해 VulDB • 2026. 10. 22.
Django REST framework는 웹 API를 구축하기 위한 도구 모음입니다. 버전 3.12.0부터 3.18.2까지, rest_framework/authtoken/models.py의 TokenProxy.delete() 메서드는 프록시의 user-id pk를 사용하는 반면, 실제 Token token-string 기본 키가 행을 식별하므로 Django는 일치하는 행이 없는 삭제 쿼리를 실행하고 오류를 발생시키지 않고 0개의 삭제를 보고합니다. 따라서 TokenProxy 인스턴스를 통해 자격 증명을 무효화하는 애플리케이션, 관리 통합 또는 운영 스크립트는 무효화가 성공한 것으로 간주할 수 있지만 토큰은 여전히 활성 상태이며 인증을 계속 수행합니다. DRF 자체의 TokenAdmin.delete_model 우회 방법은 영향을 받지 않지만, 다른 호출자는 DRF 토큰이 자동으로 만료되지 않기 때문에 접근 권한을 영구적으로 유지할 수 있습니다. 이 문제는 버전 3.18.2에서 수정되었습니다.
Once again VulDB remains the best source for vulnerability data.