CVE-2026-33033

सारांश

एक भेद्यता 6.0 से पहले 6.0.4, 5.2 से पहले 5.2.13, और 4.2 से पहले 4.2.30 में खोजी गई थी। `MultiPartParser` दूरस्थ हमलावरों को `Content-Transfer-Encoding: base64` के साथ अत्यधिक व्हाइटस्पेस सहित मल्टीपार्ट अपलोड सबमिट करके प्रदर्शन को कम करने की अनुमति देता है। पहले, असमर्थित Django श्रृंखलाएँ (जैसे 5.0.x, 4.1.x, और 3.2.x) का मूल्यांकन नहीं किया गया था और वे भी प्रभावित हो सकती हैं। Django इस मुद्दे की रिपोर्ट करने के लिए Seokchan Yoon को धन्यवाद देना चाहता है।

• CVE-2026-33033-PoCPoC

  CVE-2026-33033 के लिए प्रूफ-ऑफ-कॉन्सेप्ट एक्सप्लॉइट, Django के MultiPartParser में बेस64 व्हाइटस्पेस CPU एम्प्लीफिकेशन के माध्यम से एक denial-of-service भेद्यता, जो एक ही HTTP अनुरोध के साथ ~800x एम्प्लीफिकेशन प्रदर्शित करती है।