- Son 7 gün
- CWE-409
- CWE-770
CVE-2026-114136
Django REST framework JSONParser'da saldırgan tanımlı codec ile bellek tüketimi (hizmet dışı bırakma)
- Yayımlandı
- Güncellendi
- 21 Eki 2026
- Açık yaşı
- 6 gün
- Kaydı açan
- GitHub_M
ÖzetTürkçe
Django REST framework, Web API'leri oluşturmak için bir araç setidir. 3.6.4 sürümünden 3.18.2 sürümüne kadar olan sürümlerde, rest_framework/parsers.py içindeki JSONParser.parse metodu, istemci tarafından sağlanan Content-Type charset değerini codecs.getreader ile kullanır. Bu işlev, yalnızca metin kodlamalarını değil, bz2_codec gibi bayt dönüştürme codec'lerini de kabul eder. Bu nedenle kimlik doğrulaması yapılmamış uzak bir istemci, Django'nun DATA_UPLOAD_MAX_MEMORY_SIZE sınırını yalnızca ağ üzerindeki baytlara uyguladıktan sonra sıkıştırılmış bir JSON istek gövdesinin açılmasına neden olabilir; bu da çok küçük bir isteğin worker başına önemli miktarda bellek tüketmesine izin verir. Varsayılan parser kümesi bu saldırı için yeterlidir ve JSON gövdesi kabul eden erişilebilir her uç nokta etkilenir. Bu sorun 3.18.2 sürümünde giderilmiştir. CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H vektörü ile 7.5 (YÜKSEK) puan almıştır.
Kaynaktaki açıklama (İngilizce)
Django REST framework is a toolkit for building Web APIs. From 3.6.4 until 3.18.2, JSONParser.parse in rest_framework/parsers.py uses the client-supplied Content-Type charset value with codecs.getreader, which accepts byte-transform codecs such as bz2_codec rather than only text encodings. A remote unauthenticated client can therefore cause a compressed JSON request body to be expanded after Django has enforced DATA_UPLOAD_MAX_MEMORY_SIZE against only the wire bytes, allowing a very small request to consume substantial per-worker memory. The default parser set is sufficient, and any reachable endpoint that accepts a JSON body is affected. This issue is fixed in version 3.18.2.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| encode django-rest-framework | Sürüm belirtilmemiş | – |
Kaynaklar5 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.