CVE-2026-73229
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
Django REST framework przed wersją 3.17.2 ma podatność w AdminRenderer.render(), która używa override_method() do symulacji GET i bezpośrednio wywołuje view.get() bez view.check_permissions() podczas renderowania nieprawidłowego żądania zapisu, co pozwala odpowiedzi HTML 400 Bad Request ujawnić dane z reprezentacji GET, do której żądający nie ma uprawnień.
Ocena ryzyka
Ryzyko obejmuje nieautoryzowane ujawnienie danych wrażliwych w odpowiedziach błędów, co może naruszyć kontrolę dostępu w aplikacjach używających Django REST framework.
Rekomendacja
Zaleca się aktualizację Django REST framework do wersji 3.17.2 lub nowszej, która zawiera poprawkę.
Oryginalny opis (angielski, źródło NVD)
Django REST framework is a powerful and flexible toolkit for building Web APIs. Prior to 3.17.2, Django REST Framework's rest_framework/renderers.py AdminRenderer.render() uses override_method() to simulate GET and directly invokes view.get() without view.check_permissions() while rendering an invalid write request, allowing a 400 Bad Request HTML response to disclose data from a GET representation that the requester is not permitted to access. This issue is fixed in version 3.17.2.