PT-2026-120804
CVE-2026-114138
·
تاريخ النشر
2026-10-21
·
تاريخ التحديث
2026-10-22
الوصف من
CVSS 3.1
7.5
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
اسم البرنامج المصاب والإصدارات المتأثرة
Django REST framework الإصدارات السابقة لـ 3.18.2
الوصف
توجد مشكلة حيث تقبل
DefaultContentNegotiation.get accept list في rest framework/negotiation.py عددًا وحجمًا إجماليًا غير محدود من رموز Accept. تقوم دالة select renderer باستدعاء تحليل MediaType بشكل متكرر من rest framework/utils/mediatypes.py لكل رمز يتحكم فيه المهاجم، وكل برنامج رندرة (renderer)، وإعادة التفاوض القسري 406. يمكن لعميل عن بُعد غير مصرح له إرسال العديد من أنواع الوسائط المتميزة التي تحتوي على قيم معاملات مقتبسة كبيرة مع العديد من الفواصل المنقوطة، مما يؤدي إلى استهلاك وحدة المعالجة المركزية بشكل مفرط من قبل محلل المعاملات وهيكل التحليل المتكرر. يمكن أن يؤدي ذلك إلى تعليق العمال المتزامنين (synchronous workers) لفترات طويلة، مما قد يجعل الخدمة غير متاحة عند إرسال طلبات متزامنة إلى أي نقطة نهاية (endpoint) يمكن الوصول إليها.التوصيات
التحديث إلى الإصدار 3.18.2.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾