Veille sécuritéBackend & données
P3Élevée
Django REST framework peut utiliser un codec de compression indiqué par le client dans le paramètre charset d’une requête JSON, ce qui permet d’amplifier fortement la mémoire consommée au-delà de la limite portant sur le corps reçu. Les versions de djangorestframework à partir de 3.6.4 et antérieures à 3.18.2 sont affectées ; mettre à jour vers 3.18.2.
DjangoPython
IdentifiantCVE-2026-114136
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif3.18.2
Analyse technique
JSONParser utilise codecs.getreader avec le charset fourni dans Content-Type et accepte ainsi des codecs de transformation d’octets. La décompression intervient après le contrôle de taille du corps reçu par Django, sans contrôle équivalent de la taille après expansion.
Impact, versions et correctif
Événement datéAvis publié le 2026-10-22 à 18:16:09 +02:00 et mis à jour à 18:16:56 +02:00 ; l’avis initial relève de la période demandée.
ImpactUn attaquant non authentifié peut provoquer une consommation importante de mémoire dans un worker en soumettant une requête JSON compressée avec un charset de transformation.
Versions affectéesdjangorestframework >= 3.6.4, < 3.18.2
Version corrigée3.18.2
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.5
EPSS0,34% · percentile 26,1%
Publication2026-10-22T18:16:09+02:00
Mise à jour2026-10-22T18:16:56+02:00
Action recommandée
Mettre à jour djangorestframework vers 3.18.2.
Sources
Priorisation DFS : P3 · 2 source(s).