跳到正文
热点事件持续更新

DRF 超大 Accept 头致 CPU 耗尽 PoC 公开

1 篇报道1 个报道来源4 小时前更新

先了解这件事

AI 综述

GitHub 安全公告库公开了 Django REST framework 内容协商解析超大 Accept 头导致 CPU 耗尽的漏洞及复现步骤。公告称，DRF 对每个 Accept token 重复解析，且不限制 token 数量与总大小；攻击请求无需认证，在 gunicorn 默认限制下可构造为 96 个 Accept 字段、每字段约 8.1KB 的 token（单个媒体类型字符串须低于 Django 的 10,000 字符上限）。 公告称已在 macOS Docker Desktop（Apple Silicon，8 核）、python:3.13-slim、Django 6.1、djangorestframework 3.18.0、gunicorn 26.0.0 上端到端验证，每个放行的请求耗时约 19 秒。DRF 限流在内容协商之前执行，配置后可降低速率，但默认不带限流类。

AI 根据报道生成 · 4 小时前更新

最新进展10月23日 00:17
Django REST framework 内容协商解析超大 Accept 头导致 CPU 耗尽，附 PoC

报道时间线

沿着报道，了解事件的不同侧面。

10月23日
  1. GitHub 安全公告库 (GHSA)精选
    Django REST framework 内容协商解析超大 Accept 头导致 CPU 耗尽，附 PoC

    Django REST framework 的 content negotiation 对每个 Accept token 重复解析且不限制 token 数量与总大小。

本事件热度走势

可比范围当前
9
可比范围峰值
1010月23日 01:00
近 24 小时变化
–

趋势仅比较持续完整观测到的相同主体，范围可能小于当前热度统计。移动指针或点击图表查看每小时热度；键盘可用左右方向键切换。