CVE-2026-73228
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 25 - wyżej niż 25% wszystkich znanych CVE
Streszczenie
Django REST framework przed wersją 3.17.2 ma podatność w parsowaniu request.data w rest_framework/request.py Request._parse(), która przekazuje strumień HttpRequest do JSONParser i FormParser dla ciał application/json i application/x-www-form-urlencoded, omijając ochronę DATA_UPLOAD_MAX_MEMORY_SIZE Django i pozwalając na nadmiernie duże ciała żądań zużywające dodatkową pamięć i CPU. Problem naprawiono w wersji 3.17.2.
Ocena ryzyka
Omijanie ochrony przed dużymi ciałami żądań może prowadzić do wyczerpania zasobów serwera (DoS) i spowolnienia działania aplikacji, co może wpłynąć na dostępność usług.
Rekomendacja
Zaleca się natychmiastowe zaktualizowanie Django REST framework do wersji 3.17.2 lub nowszej. Należy również rozważyć dodatkowe ograniczenia rozmiaru żądań na poziomie serwera.
Oryginalny opis (angielski, źródło NVD)
Django REST framework is a toolkit for building Web APIs. Prior to 3.17.2, Django REST Framework's request.data parsing in rest_framework/request.py Request._parse() passes the underlying HttpRequest stream to JSONParser and FormParser for application/json and application/x-www-form-urlencoded bodies, bypassing Django's DATA_UPLOAD_MAX_MEMORY_SIZE protection and allowing oversized request bodies to consume additional memory and CPU. This issue is fixed in version 3.17.2.