Betroffen ist die Geodaten-Erweiterung GeoDjango des Webframeworks Django, konkret die Klasse zum Einlesen von Geometrieobjekten. Übergibt ein Angreifer eine stark verschachtelte Geometriesammlung – etwa als Text, als Binärdaten oder als hex-kodierte Binärdaten –, verarbeitet der Parser diese Struktur rekursiv, ohne die Verschachtelungstiefe zu begrenzen. Die zugrunde liegende Geometrie-Bibliothek GEOS läuft dadurch in eine unbegrenzte Rekursion und stürzt mit einem Speicherzugriffsfehler ab. Das Ergebnis ist eine Dienstblockade: Die betroffene Anwendung bricht ab und ist für legitime Nutzer nicht mehr erreichbar. Angreifbar sind nicht nur direkte Aufrufe der Geometrieklasse, sondern auch Datenbankabfragen mit räumlichen Suchbedingungen sowie das Formularfeld für Geometrieeingaben – also gerade jene Stellen, an denen Webanwendungen typischerweise von Nutzern gelieferte Geodaten annehmen. Auch ältere, nicht mehr unterstützte Django-Reihen könnten betroffen sein, wurden aber nicht geprüft.