PT-2026-120802
CVE-2026-114136
·
تاريخ النشر
2026-10-21
·
تاريخ التحديث
2026-10-22
الوصف من
CVSS 3.1
7.5
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
اسم البرنامج المصاب والإصدارات المتأثرة
Django REST framework الإصدارات من 3.6.4 إلى 3.18.1
الوصف
تستخدم الدالة
JSONParser.parse في rest framework/parsers.py قيمة charset الخاصة بـ Content-Type التي يوفرها العميل مع codecs.getreader. يسمح هذا باستخدام برامج ترميز تحويل البايت (byte-transform codecs)، مثل bz2 codec بدلاً من الاقتصار على ترميزات النصوص فقط. يمكن لعميل عن بُعد غير مصرح له إرسال جسم طلب JSON مضغوط يتمدد بعد أن يقوم النظام بفرض DATA UPLOAD MAX MEMORY SIZE على بايتات الشبكة فقط، مما يسمح لطلب صغير باستهلاك ذاكرة كبيرة لكل عامل (per-worker memory). تتأثر جميع نقاط النهاية التي تقبل جسم JSON.التوصيات
التحديث إلى الإصدار 3.18.2.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾