GitHub 安全公告库 (GHSA)·· 2 小时前精选AI 评分65
Django REST framework JSONParser 按攻击者指定 codec 解压请求体，公开 PoC 可绕过 DATA_UPLOAD_MAX_MEMORY_SIZE
Django REST framework: JSONParser applies an attacker-named codec to the request stream
AI 导读
GitHub 安全公告 GHSA-3547-9m27-7rxg 披露 Django REST framework 的 JSONParser 会用客户端在 Content-Type charset 参数中指定的编码解码请求体，攻击者填入 bz2_codec 等字节变换编码即可绕过 Django 的 DATA_UPLOAD_MAX_MEMORY_SIZE 限制。
为什么值得看
公告给出可运行的复现脚本与四组对照，说明默认解析器下小请求体如何放大内存占用。
来源：GitHub 安全公告库 (GHSA) · github.com