CVE-2026-114137
Açıklama
Django REST framework, Web API'leri oluşturmak için kullanılan bir araç takımıdır. 3.12.0 ile 3.18.2 sürümleri arasında, rest_framework/authtoken/models.py dosyasındaki TokenProxy.delete(), proxy'nin user-id pk değerini kullanırken somut Token token-string birincil anahtarının satırları tanımlaması nedeniyle, Django hiçbir satırla eşleşmeyen bir silme sorgusu yürütür ve herhangi bir hata oluşturmadan sıfır silme bildirir. Bu nedenle, kimlik bilgilerini bir TokenProxy örneği üzerinden iptal eden uygulamalar, yönetimsel entegrasyonlar veya operasyonel betikler, token aktif kalmaya ve kimlik doğrulamaya devam ederken iptal işleminin başarılı olduğuna inanabilir. DRF'nin kendi TokenAdmin.delete_model geçici çözümü bundan etkilenmemektedir ancak DRF token'ları otomatik olarak sona ermediği için diğer çağrıcılar erişimi süresiz olarak açık bırakabilir. Bu sorun 3.18.2 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- djangorestframework3.18.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| djangorestframeworkPyPI | 3.12.0 ≤ v < 3.18.2 | 3.18.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.