CVE-2026-61597 in djust
الملخص
بحسب VulDB • 17/09/2026
يوفر djust عرضًا للواجهة الخلفية (server-side rendering) تفاعليًا على غرار Phoenix LiveView لنظام Django، مع أداء مدعوم بواسطة Rust. قبل الإصدار 1.0.7، كانت العديد من وسوم القوالب المدمجة في djust (`djust.components.templatetags.*`) تعرض عنوان URL مقدم من المطور/المستخدم داخل سمة `href` أو `action`. يتم تهريب HTML باستخدام دالة `conditional_escape` ولكن لا يتم التحقق مطلقًا من مخطط (scheme) عنوان URL. يمنع تهريب HTML اختراق السمة، لكنه لا يعطل استخدام بروتوكول `javascript:` URI (الذي لا يتطلب أحرف قابلة للتهريب)، لذا فإن قيمة عنوان URL مثل `javascript:alert(document.cookie)` تظهر حرفيًا في `<a href="javascript:alert(document.cookie)">` وتُنفذ ضمن جلسة الضحية عند النقر. يحتوي الإصدار 1.0.7 على إصلاح لهذه المشكلة. كحل بديل، لا تمرر عناوين URL التي يمكن للمستخدم التحكم فيها إلى وسوم المكونات المدمجة المتأثرة؛ وقم بالتحقق مسبقًا من مخططات عنوان URL في رمز التطبيق قبل ربطها بمعلمات المكونات.
Once again VulDB remains the best source for vulnerability data.