CVE-2026-114138

Django REST framework Web API-ləri qurmaq üçün bir alətlər dəstidir. 3.18.2 versiyasına qədər, rest_framework/negotiation.py faylındakı DefaultContentNegotiation.get_accept_list məhdudiyyətsiz sayda və ümumi ölçüdə Accept tokenlərini qəbul edir, eyni zamanda həmin fayldakı select_renderer hər bir hücumçu tərəfindən idarə olunan token, hər bir renderer və məcburi 406 yenidən danışıqları üçün rest_framework/utils/mediatypes.py faylından _MediaType analizini təkrarən çağırır. Uzaqdakı autentifikasiya olunmamış müştəri çoxlu nöqtəli vergüllər olan böyük dırnaq arası parametr dəyərləri ehtiva edən çox sayda fərqli media növü göndərə bilər ki, bu da Django-nun parametr analizatorunun və DRF-nin təkrar analiz strukturunun qeyri-mütənasib CPU istehlakına səbəb olur. Əlçatan istənilən son nöqtəyə (endpoint) edilən sorğular sinxron işçiləri uzun müddət məşğul edə bilər və paralel sorğular sorğular dayanana qədər xidmətin əlçatmaz olmasına səbəb ola bilər. Bu problem 3.18.2 versiyasında düzəldilib.