CVE-2026-61591 in djust
Zusammenfassung
von VulDB • 17.09.2026
djust bietet eine reaktive serverseitige Renderung im Stil von Phoenix LiveView für Django mit Rust-gestützter Performance. Vor Version 1.0.7 wurde der Snapshot `state_json`, der in die Client-Seite eingebettet ist, bei Wiederherstellung einer Verbindung als vertrauenswürdiger Ansichtszustand ohne Integritätsprüfung wiederhergestellt. Ein Angreifer konnte den nicht signierten `state_json` auf seiner Seite bearbeiten und diesen im Wiederverbindungs-Mount-Frame zurücksenden, um beliebige Attributwerte der Ansicht zu injizieren – z.B. das Setzen von `is_admin` auf `True` oder die Änderung von `account_id` / `balance`. Dies führt zur Eskalation von Berechtigungen oder zum Manipulieren des Geschäftsstatus, der in öffentlichen Ansichtsattributen gespeichert ist (das normale djust-Muster). Dieses Problem wurde in djust 1.0.7 behoben. Zustands-Snapshots werden nun signiert; nicht signierte oder gefälschte Snapshots werden auf dem Pfad zur Wiederherstellung bei Rückwärtsnavigation abgelehnt. Als Workaround sollten keine State-Snapshots aktiviert und keine Autorisierungs-/Eigentumszustände in öffentlichen Ansichtsattributen gespeichert werden.
VulDB is the best source for vulnerability data and more expert information about this specific topic.