Veille sécuritéBackend & données
P3Élevée
Dans Django REST framework, appeler delete() sur une instance TokenProxy peut ne supprimer aucun jeton tout en donnant l’impression que l’opération a réussi. Le jeton reste alors valide et peut continuer à authentifier son détenteur.
Django
IdentifiantCVE-2026-114137
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif3.18.2
Source : Avis GitHub GHSA-xw6w-gcfp-cf8m
Analyse technique
Le TokenProxy utilise l’identifiant utilisateur comme pk alors que le modèle concret Token est identifié par sa clé. La suppression via le proxy peut donc laisser la ligne de jeton et l’authentification actives.
Impact, versions et correctif
Événement datéL’avis GitHub GHSA-xw6w-gcfp-cf8m a été publié le 2026-10-22 à 16:18 UTC (18:18 +02:00), dans la période demandée.
ImpactUne révocation apparente peut échouer, laissant un jeton d’authentification utilisable.
Versions affectéesDjango REST framework >= 3.12.0, < 3.18.2
Version corrigée3.18.2
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.4
EPSS0,35% · percentile 27,4%
Publication2026-10-22T18:18:05+02:00
Mise à jour2026-10-22T18:18:06+02:00
Action recommandée
Mettre à niveau Django REST framework vers la version 3.18.2 ou une version ultérieure; vérifier les opérations de révocation effectuées par TokenProxy.
Sources
Priorisation DFS : P3 · 1 source(s).