CVE-2026-61589 in djust
Zusammenfassung
von VulDB • 17.09.2026
djust bietet Phoenix LiveView-ähnliches reaktives serverseitiges Rendering für Django mit Rust-gestützter Performance. Vor Version 1.0.7 bauten die WebSocket-Funktionen `handle_mount` und `ViewRuntime._build_request` ein `HttpRequest` über `RequestFactory().get(...)` ohne `HTTP_HOST` auf, sodass `request.get_host()` im Live-Pfad standardmäßig `"testserver"` zurückgab. Host-/Subdomain-/Domain-basierte `TenantResolver`s lösten den Mandanten dann falsch auf — `None` im Live-Pfad, während der HTTP-Pfad korrekt aufgelöst wurde. Bei aktiviertem `STRICT_MODE=False` gaben die mandantenspezifischen Manager unscoped Zeilen zurück (Cross-Tenant-Datenleck); bei der Standardeinstellung gaben sie eine leere QuerySet zurück (kaputte Mandantenisolierung). Dies ist in djust 1.0.7 behoben. Der Host aus dem Handshake wird aus dem ASGI-Scope extrahiert, gegen `ALLOWED_HOSTS` validiert (die gleiche Logik wie beim CSWSH-Origin-Gate, analysiert mit Django's `split_domain_port`, sodass fehlerhafte Hosts an der Grenze abgelehnt werden) und weitergegeben — zusammen mit dem TLS-Schema — in das rekonstruierte Anfrageobjekt, sodass die Mandantenauflösung im Live-Pfad exakt mit der des HTTP-Pfads übereinstimmt. Es ist kein Workaround für den Live-Pfad bekannt außer einem Upgrade. Die Nutzer sind am stärksten gefährdet, wenn dies mit `STRICT_MODE=False` kombiniert wird.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.