CVE-2026-73228
Django REST framework: Potential bypass of Django `DATA_UPLOAD_MAX_MEMORY_SIZE` when parsing oversized JSON and urlencoded request bodies via DRF `request.data`
CVSS 3.1Medium
5.3/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ПАТЧ ДОСТУПЕН: ВЕРСИЯ 3.17.2
Обновите djangorestframework до версии 3.17.2 или выше.
01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ
Обход лимита памяти Django DATA_UPLOAD_MAX_MEMORY_SIZE через механизм request.data в Django REST Framework. Позволяет вызвать истощение ресурсов сервера.
02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ
В rest_framework/request.py метод Request._parse() передает поток HttpRequest напрямую в JSONParser и FormParser для тел application/json и application/x-www-form-urlencoded, минуя встроенный лимит Django.
03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ
Неконтролируемое потребление оперативной памяти и процессорного времени при передаче запросов с аномально большим телом, деградация производительности сервиса.
04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ
encodedjango-rest-framework
все ранние➔Fix: 3.17.2
——
>= 0➔Fix: 3.17.2
05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (4)
- github.comhttps://github.com/encode/django-rest-framework/security/advisories/GHSA-2m8g-3cmr-wg3w
- github.comhttps://github.com/encode/django-rest-framework/pull/10013
- github.comhttps://github.com/encode/django-rest-framework/commit/2912dc98042f78e27636551fc22eeaf10f725fdd
- github.comhttps://github.com/encode/django-rest-framework/commit/82ef7b7e4e0a73ba5c489b465fae7e76d948da4e
06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК
Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:
Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости CVE-2026-73228: Django REST framework: Potential bypass of Django `DATA_UPLOAD_MAX_MEMORY_SIZE` when parsing oversized JSON and urlencoded request bodies via DRF `request.data`. URL: https://cve.futuretools.ru/cve/CVE-2026-73228
BibTeX формат (LaTeX)
@misc{cve_futuretools_cve_2026_73228,
title = {{CVE-2026-73228: Django REST framework: Potential bypass of Django `DATA_UPLOAD_MAX_MEMORY_SIZE` when parsing oversized JSON and urlencoded request bodies via DRF `request.data`}},
author = {{CVE Futuretools}},
year = {2026},
howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-73228}},
note = {Оперативный инженерный анализ киберугроз}
}