CVE-2026-61592 in djust
Zusammenfassung
von VulDB • 17.09.2026
djust bietet Phoenix LiveView-ähnliches reaktives serverseitiges Rendering für Django mit Rust-gestützter Performance. Vor Version 1.0.7 wurden SSE-Sitzungen (Server-Sent Events) ausschließlich durch eine vom Client gewählte `session_id` identifiziert, ohne Bindung an den authentifizierten Benutzer – ein Mechanismus, der im WebSocket-Transport vorhanden ist, aber bei SSE entfiel. Ein Angreifer, der eine `session_id` erfährt (oder ein Opfer, das sie preisgibt), kann sich mit dem Nachrichtenendpunkt verbinden und Event-Handler ausführen lassen, die unter der Identität und im Zustand des Opfers ausgeführt werden. Dies wurde in djust 1.0.7 behoben. Jede SSE-Sitzung wird bei ihrer Erstellung an den jeweiligen Principal gebunden, und ein Zugriff über Principals hinweg wird abgelehnt; zudem ist die Erstellung von SSE-Sitzungen pro Principal begrenzt. Als Workaround kann der SSE-Transport deaktiviert werden.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.