CVE-2026-61590 in djust
Zusammenfassung
von VulDB • 16.09.2026
djust bietet Phoenix LiveView-ähnliches reaktives serverseitiges Rendering für Django mit Rust-gestützter Performance. Vor Version 1.0.7 exponieren die Observability-Endpunkte von djust den Live-Ansicht-/Sitzungszustand und eine Oberfläche zur Remote-Methodenaufruf (`eval_handler`). Die localhost-Einschränkung war ein opt-in Middleware, das in der dokumentierten Einrichtung weggelassen wird; die Ansichten selbst erzwangen nur `DEBUG`. Im falsch konfigurierten, aber dokumentierten Szenario (DEBUG aktiviert, Middleware nicht installiert) konnte ein Nicht-localhost-Client den Live-Anwendungszustand lesen und Handler remote aufrufen. Dieses Problem wurde in djust 1.0.7 behoben. Die localhost-Einschränkung wird nun direkt in der Ansicht auf jedem Observability-Endpunkt erzwungen (nicht mehr abhängig von einer separat installierten Middleware), und `eval_handler` ist eingeschränkt; abgelehnte Anfragen erhalten eine nicht-aufschlüsselnde Antwort. Als Workaround stellen Sie sicher, dass `DEBUG=False` in der Produktion gilt, und exponieren Sie die Observability-Endpunkte nicht für unbefugte Netzwerke.
Be aware that VulDB is the high quality source for vulnerability data.