CVE-2026-73229
Django REST framework: AdminRenderer may disclose GET-protected data when rendering invalid write requests
CVSS 3.1Medium
4.3/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ПАТЧ ДОСТУПЕН: ВЕРСИЯ 3.17.2
Обновите пакет djangorestframework до версии 3.17.2 или выше.
01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ
Компонент AdminRenderer в Django REST framework раскрывает защищенные GET-данные при обработке невалидных запросов на запись.
02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ
В rest_framework/renderers.py метод AdminRenderer.render() вызывает override_method() для эмуляции GET и напрямую запускает view.get() без проверки прав через view.check_permissions(), формируя HTML-ответ 400 Bad Request с закрытыми полями.
03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ
Пользователь без прав на чтение объекта отправляет невалидный POST/PUT-запрос и перехватывает конфиденциальное представление ресурса в теле ответа с ошибкой 400.
04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ
encodedjango-rest-framework
все ранние➔Fix: 3.17.2
——
>= 0➔Fix: 3.17.2
05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (5)
- github.comhttps://github.com/encode/django-rest-framework/security/advisories/GHSA-g47c-3xmw-q6m2
- github.comhttps://github.com/encode/django-rest-framework/pull/10012
- github.comhttps://github.com/encode/django-rest-framework/commit/71f81946906e52f9dc8e5d22a0f3d2afa50c455e
- github.comhttps://github.com/encode/django-rest-framework/commit/9e82afc98acfe6fc28c9bf78147f0c5b3f222cb5
- github.comhttps://github.com/encode/django-rest-framework/releases/tag/3.17.2
06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК
Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:
Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости CVE-2026-73229: Django REST framework: AdminRenderer may disclose GET-protected data when rendering invalid write requests. URL: https://cve.futuretools.ru/cve/CVE-2026-73229
BibTeX формат (LaTeX)
@misc{cve_futuretools_cve_2026_73229,
title = {{CVE-2026-73229: Django REST framework: AdminRenderer may disclose GET-protected data when rendering invalid write requests}},
author = {{CVE Futuretools}},
year = {2026},
howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-73229}},
note = {Оперативный инженерный анализ киберугроз}
}