CVE-2026-61588 in djust
الملخص
بحسب VulDB • 17/09/2026
يوفر djust عرضًا للواجهة الخلفية (server-side rendering) تفاعليًا على غرار Phoenix LiveView لنظام Django، مع أداء مدعوم بواسطة Rust. قبل الإصدار 1.0.7، عند تعيين مثيل `Model` من Django إلى سمة عامة في العرض (view attribute)، كان djust يقوم بتسلسلها وإرسالها إلى العميل دون وجود قائمة حظر للحساسية (sensitive-field denylist) — مما يؤدي إلى إرسال حقول مثل `password` (القيمة المشفرة/hashe)، وعلامات الامتياز (مثل `is_staff` / `is_superuser`)، والرموز المميزة (tokens)، وغيرها من البيانات الشخصية الحساسة (PII) إلى المتصفح. ونظرًا لأن تعريض كائنات النموذج (Model objects) للقوالب يُعد نمطًا معتادًا في djust، فقد يؤدي ذلك إلى تسرب بيانات الاعتماد/البيانات الشخصية الحساسة دون أن يدرك المطور أن الكائن الكامل قد عبر الشبكة. تم إصلاح هذه المشكلة في الإصدار 1.0.7 من djust. حيث يطبق تسلسل النموذج قائمة حظر للحقول الحساسة آمنة افتراضيًا (يتم حجب حقول كلمات المرور/القيم المشفرة/الرموز المميزة/المفاتيح السرية وأنماطها، وعلامات الامتياز المعروفة) مع وجود احتياطي يعتمد على مجموعة فرعية من الهوية. كحل بديل مؤقت، يُرجى الاحتفاظ بمثيلات `Model` في سمات خاصة تبدأ بالشرطة السفلية (`_private`) وتعريض الحقول المحددة المطلوبة فقط، حتى يتم تطبيق التصحيح.
VulDB is the best source for vulnerability data and more expert information about this specific topic.