CVE-2026-114137
Təsvir
Django REST framework Web API-ləri qurmaq üçün bir alətlər dəstidir. 3.12.0 versiyasından 3.18.2 versiyasına qədər, rest_framework/authtoken/models.py faylındakı TokenProxy.delete() funksiyası proksinin user-id pk-sından istifadə edir, lakin konkret Token token-string primary key sətirləri müəyyən edir; buna görə də Django heç bir sətri uyğunlaşdırmayan silmə sorğusu göndərir və xəta vermədən sıfır silinmə hesabatı təqdim edir. Beləliklə, TokenProxy instansiyası vasitəsilə etibarnamələri ləğv edən tətbiqlər, inzibati inteqrasiyalar və ya əməliyyat skriptləri, token aktiv qaldığı və autentifikasiyanı davam etdirdiyi halda, ləğvin uğurlu olduğunu düşünə bilərlər. DRF-nin öz TokenAdmin.delete_model həlli bu problemdən təsirlənmir, lakin digər çağırıcılar girişi qeyri-müəyyən müddətə açıq saxlaya bilərlər, çünki DRF tokenlərinin vaxtı avtomatik bitmir. Bu problem 3.18.2 versiyasında düzəldilib.
Necə düzəltmək olar
- djangorestframework3.18.2 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| djangorestframeworkPyPI | 3.12.0 ≤ v < 3.18.2 | 3.18.2 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.