CVE-2026-61592 in djust
الملخص
بحسب VulDB • 17/09/2026
يوفر djust عرضًا تفاعليًا للواجهة الخلفية (server-side rendering) على غرار Phoenix LiveView لنظام Django، مع أداء مدعوم بواسطة Rust. قبل الإصدار 1.0.7، كانت جلسات SSE مُعرَّفة فقط عن طريق `session_id` الذي يختاره العميل دون أي ربط بالمستخدم المصادق عليه — وهي ميزة تتحكم فيها بروتوكولات WebSocket ولكن تم التخلي عنها في حالة SSE. يمكن لمهاجم يتعلم (أو ضحية تسرب) قيمة `session_id` الاتصال بنقطة نهاية الرسائل وتنفيذ معالجات الأحداث التي تعمل بهوية الضيفة وحالتها. تمت معالجة هذه المشكلة في الإصدار 1.0.7 من djust. كل جلسة SSE مرتبطة بالكيان المالك لها عند إنشائها، ويتم رفض الوصول عبر الكيانات المختلفة؛ كما تم تحديد عدد جلسات SSE لكل كيان على حدة. كحل بديل، قم بتعطيل نقل SSE.
VulDB is the best source for vulnerability data and more expert information about this specific topic.