Какая версия Django и/или Python подвержена IP-спуфингу?

Я провел некоторое исследование по ссылке, которой вы поделились, источника Django и источника Django REST Framework.

Bare-bones Django не уязвим для этого, поскольку не использует X-Forwarded-For, как и Python.

Практически все версии Django REST Framework уязвимы, поскольку этот коммит 9 лет назад добавил проверку HTTP_X_FORWARDED_FOR: https://github.com/encode/django-rest-framework/blob/d18d32669ac47178f26409f149160dc2c0c5359c/rest_framework/throttling.py#L155

Что касается мер, которые вы можете предпринять, чтобы избежать этого, поскольку патч еще не доступен, вы можете реализовать свой собственный ratelimitter, и заменить get_ident на использование только REMOTE_ADDR.

Если ваше приложение Djando REST Framework находится за прокси-сервером, вы можете быть неуязвимы для этого.