CVE-2026-61590 in djust
الملخص
بحسب VulDB • 17/09/2026
يوفر djust عرضًا للواجهة الخلفية (server-side rendering) تفاعليًا على غرار Phoenix LiveView لنظام Django، مع أداء مدعوم بواسطة Rust. قبل الإصدار 1.0.7، كانت نقاط نهاية المراقبة في djust تُعرّض حالة العرض/الجلسة الحية وسطح استدعاء الطرق عن بُعد (`eval_handler`). كان قيد الوصول من عنوان localhost عبارةً عن وسيط (middleware) اختياري لم يدرجه الإعداد المُوثّق؛ وكانت العروض نفسها تفرض القيد فقط عند تفعيل `DEBUG`. في السيناريو غير المضبوط بشكل صحيح ولكن الموثق (تفعيل DEBUG وعدم تثبيت الوسيط)، يمكن لعميل خارج نطاق localhost قراءة حالة التطبيق الحية واستدعاء المعالجات عن بُعد. تم إصلاح هذه المشكلة في djust الإصدار 1.0.7. حيث يُفرض قيد الوصول من عنوان localhost داخل العرض على كل نقطة نهاية للمراقبة (لم يعد يعتمد على وسيط مُثبَّت بشكل منفصل)، وتم تقييد `eval_handler`؛ فتُرد الطلبات المحظورة باستجابة لا تكشف أي معلومات. كإجراء وقائي، تأكد من ضبط `DEBUG=False` في بيئة الإنتاج، ولا تُعرّض نقاط نهاية المراقبة للشبكات غير الموثوقة.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.