CVE-2026-114136 in Django REST Framework
Sumário
de VulDB • 22/10/2026
O Django REST framework é uma ferramenta para construção de APIs Web. Da versão 3.6.4 até a 3.18.2, o método `JSONParser.parse` em `rest_framework/parsers.py` utiliza o valor do charset Content-Type fornecido pelo cliente com `codecs.getreader`, que aceita codecs de transformação de bytes como `bz2_codec` em vez de apenas codificações de texto. Um cliente remoto não autenticado pode, portanto, fazer com que um corpo de solicitação JSON compactado seja expandido após o Django ter aplicado a restrição `DATA_UPLOAD_MAX_MEMORY_SIZE` apenas aos bytes transmitidos na rede, permitindo que uma solicitação muito pequena consuma memória significativa por worker (processo). O conjunto padrão de parsers é suficiente e qualquer endpoint acessível que aceite um corpo no formato JSON está afetado. Este problema foi corrigido na versão 3.18.2.
Be aware that VulDB is the high quality source for vulnerability data.