CVE-2026-114138

Django REST framework, Web API'leri oluşturmak için kullanılan bir araç takımıdır. 3.18.2 sürümünden önce, rest_framework/negotiation.py dosyasındaki DefaultContentNegotiation.get_accept_list, sınırsız sayıda ve toplam boyutta Accept belirteci kabul ederken; aynı dosyadaki select_renderer, saldırgan tarafından kontrol edilen her belirteç, her renderer ve zorunlu 406 yeniden müzakeresi için rest_framework/utils/mediatypes.py içindeki _MediaType ayrıştırmasını tekrar tekrar çağırır. Uzaktaki kimliği doğrulanmamış bir istemci, çok sayıda noktalı virgül içeren büyük tırnaklı parametre değerlerine sahip birçok farklı medya türü göndererek, Django'nun parametre ayrıştırıcısının ve DRF'nin tekrarlanan ayrıştırma yapısının aşırı miktarda CPU tüketmesine neden olabilir. Erişilebilir herhangi bir uç noktaya yapılan istekler, senkron çalışanları uzun süre meşgul edebilir ve eşzamanlı istekler, istekler durana kadar hizmetin kullanılamaz hale gelmesine yol açabilir. Bu sorun 3.18.2 sürümünde düzeltilmiştir.