Veille sécuritéBackend & données
P3Élevée
La négociation de contenu de Django REST framework peut consommer beaucoup de CPU en analysant à plusieurs reprises des en-têtes Accept volumineux comportant de nombreux paramètres cités. Les versions de djangorestframework antérieures à 3.18.2 sont affectées ; mettre à jour vers 3.18.2.
DjangoPython
IdentifiantCVE-2026-114138
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif3.18.2
Analyse technique
Le traitement du header Accept ne limite ni le nombre de tokens ni leur taille cumulée ; la négociation peut reparcourir les valeurs plusieurs fois. Les valeurs citées contenant de nombreux séparateurs déclenchent un coût quadratique dans l’analyse des paramètres.
Impact, versions et correctif
Événement datéAvis publié le 2026-10-22 à 18:17:13 +02:00, dans la période demandée.
ImpactUn en-tête Accept spécialement construit peut occuper un worker et ralentir ou bloquer le service.
Versions affectéesdjangorestframework < 3.18.2
Version corrigée3.18.2
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.5
EPSS0,43% · percentile 36,4%
Publication2026-10-22T18:17:13+02:00
Mise à jour2026-10-22T18:17:15+02:00
Action recommandée
Mettre à jour djangorestframework vers 3.18.2.
Sources
Priorisation DFS : P3 · 2 source(s).