CVE-2026-33033

总结

在 6.0 至 6.0.4 之前、5.2 至 5.2.13 之前以及 4.2 至 4.2.30 之前的版本中发现了一个问题。`MultiPartParser` 允许远程攻击者通过提交包含 `Content-Transfer-Encoding: base64` 且带有过多空白的 multipart 上传来降低性能。此前，不受支持的 Django 系列（例如 5.0.x、4.1.x 和 3.2.x）未经过评估，也可能受到影响。Django 感谢 Seokchan Yoon 报告此问题。

• CVE-2026-33033-PoCPoC

  CVE-2026-33033 的概念验证漏洞利用程序，该漏洞是 Django 的 MultiPartParser 中通过 base64 空白字符导致的 CPU 放大拒绝服务漏洞，演示了通过单个 HTTP 请求即可实现约 800 倍的放大效果。