CVE-2026-114136

Nome do Software Vulnerável e Versões Afetadas Django REST framework versões 3.6.4 até 3.18.1

Descrição A função JSONParser.parse em rest framework/parsers.py utiliza o valor de charset do Content-Type fornecido pelo cliente com codecs.getreader. Isso permite o uso de codecs de transformação de bytes, como bz2 codec, em vez de limitar apenas a codificações de texto. Um cliente remoto não autenticado pode enviar um corpo de requisição JSON compactado que se expande após o sistema ter aplicado o DATA UPLOAD MAX MEMORY SIZE apenas aos bytes de rede. Isso pode fazer com que uma requisição pequena consuma memória substancial por worker. Qualquer endpoint acessível que aceite um corpo JSON é afetado.

Recomendações Atualizar para a versão 3.18.2.