Проблема была обнаружена в версиях 6.0 до 6.0.3, 5.2 до 5.2.12 и 4.2 до 4.2.29.
`URLField.to_python()` в Django вызывает `urllib.parse.urlsplit()`, который выполняет нормализацию NFKC в Windows, что непропорционально медленно для определенных символов Юникода, позволяя удаленному злоумышленнику вызвать отказ в обслуживании через большие входные URL-адреса, содержащие эти символы.
Ранее неподдерживаемые серии Django (например, 5.0.x, 4.1.x и 3.2.x) не оценивались и также могут быть затронуты.
Джанго хотел бы поблагодарить Сокчана Юна за сообщение об этой проблеме.
Показать оригинальное описание (EN)
An issue was discovered in 6.0 before 6.0.3, 5.2 before 5.2.12, and 4.2 before 4.2.29. `URLField.to_python()` in Django calls `urllib.parse.urlsplit()`, which performs NFKC normalization on Windows that is disproportionately slow for certain Unicode characters, allowing a remote attacker to cause denial of service via large URL inputs containing these characters. Earlier, unsupported Django series (such as 5.0.x, 4.1.x, and 3.2.x) were not evaluated and may also be affected. Django would like to thank Seokchan Yoon for reporting this issue.
Характеристики атаки
Последствия
Строка CVSS v3.1