p PatchFirst

CVE-2026-114137

CVE-2026-114137 · Django REST framework: TokenProxy.delete() reports success and revokes nothing

Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.

Django REST framework is a toolkit for building Web APIs. From 3.12.0 until 3.18.2, TokenProxy.delete() in rest_framework/authtoken/models.py uses the proxy's user-id pk while the concrete Token token-string primary key identifies rows, so Django issues a deletion query that matches no row and reports zero deletions without raising an error. Applications, administrative integrations, or operational scripts that revoke credentials through a TokenProxy instance can therefore believe revocation succeeded while the token remains live and continues authenticating. DRF's own TokenAdmin.delete_model workaround is not affected, but other callers can leave access available indefinitely because DRF tokens do not expire automatically. This issue is fixed in version 3.18.2.

CVSS 7.4 · Hoch · EPSS 0,5% · Öffentlicher Exploit · Korrektur verfügbar

Veröffentlicht
Aktualisiert

Technologie-Stack: system · python

Betroffene Produkte und Versionen

  • django-rest-framework

    Softwareversionen
    • >= 3.12.0, < 3.18.2: Betroffen

    Keine Korrektur veröffentlicht

  • djangorestframework Debian:12

    Softwareversionen
    • 3.14.0-2
    • 3.14.0-2+deb12u1
    • 3.15.1-1
    • 3.15.1-2
    • 3.15.2-1
    • 3.15.2-2
    • 3.16.0-1
    • 3.16.1-1
    • 3.16.1-3
    • 3.16.1-4
    • 3.17.1+ds1-1
    • 3.17.1-1
    • 3.18.1+ds1-1
    • 3.18.3+ds1-1
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • djangorestframework Debian:13

    Softwareversionen
    • 3.16.0-1
    • 3.16.1-1
    • 3.16.1-3
    • 3.16.1-4
    • 3.17.1+ds1-1
    • 3.17.1-1
    • 3.18.1+ds1-1
    • 3.18.3+ds1-1
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • djangorestframework Debian:14

    Softwareversionen
    • 3.16.0-1
    • 3.16.1-1
    • 3.16.1-3
    • 3.16.1-4
    • 3.17.1+ds1-1
    • 3.17.1-1
    • 3.18.1+ds1-1
    Betroffene Versionsbereiche
    • ECOSYSTEM: < 3.18.3+ds1-1

    Auf 3.18.3+ds1-1 aktualisieren

  • djangorestframework PyPI

    Softwareversionen
    • 3.12.0
    • 3.12.1
    • 3.12.2
    • 3.12.3
    • 3.12.4
    • 3.13.0
    • 3.13.1
    • 3.14.0
    • 3.15.0
    • 3.15.1
    • 3.15.2
    • 3.16.0
    • 3.16.1
    • 3.17.0
    • 3.17.1
    • 3.17.2
    • 3.18.0
    • 3.18.1
    Betroffene Versionsbereiche
    • ECOSYSTEM: ≥ 3.12.0, < 3.18.2

    Auf 3.18.2 aktualisieren

  • djangorestframework Ubuntu:16.04:LTS

    Softwareversionen
    • 2.4.3-2
    • 3.3.1-1
    • 3.3.2-1
    • 3.3.2-2
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • djangorestframework Ubuntu:18.04:LTS

    Softwareversionen
    • 3.4.0-2
    • 3.7.7-1
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • djangorestframework Ubuntu:20.04:LTS

    Softwareversionen
    • 3.9.0-2
    • 3.10.2-1
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • djangorestframework Ubuntu:22.04:LTS

    Softwareversionen
    • 3.12.1-1
    • 3.12.4-1
    • 3.12.4-2
    • 3.12.4-2ubuntu1
    • 3.12.4-2.1ubuntu1
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • djangorestframework Ubuntu:24.04:LTS

    Softwareversionen
    • 3.14.0-2
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • djangorestframework Ubuntu:26.10

    Softwareversionen
    • 3.16.1-3
    • 3.16.1-4
    • 3.17.1+ds1-1
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • djangorestframework Ubuntu:26.04:LTS

    Softwareversionen
    • 3.16.1-1
    • 3.16.1-3
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

Originalquellen

Prüfen Sie Ihren Server →