CVE-2026-61596 in djust
Zusammenfassung
von VulDB • 17.09.2026
djust bietet Phoenix LiveView-artiges, reaktives serverseitiges Rendering für Django mit Rust-gestützter Performance. Vor Version 1.0.7 wurde die objektbezogene Autorisierung von djust (`get_object` + `has_object_permission`, ADR-017) zwar auf dem WebSocket-Mount und den Event-Pfaden durchgesetzt, jedoch nicht an drei weiteren Render-Einstiegspunkten: (a) dem initialen HTTP GET-Render, (b) der SPA-Navigation über `url_change` und (c) in `{% live_render %}` eingebetteten Kindansichten. Ein authentifizierter Benutzer konnte daher Objekte anzeigen (und auf einigen Pfaden auch damit interagieren), für die er nicht berechtigt ist, indem er die Seite direkt aufruft, sich per SPA-URL-Änderung dorthin navigiert oder sie als eingebettetes Kind zusammensetzt – ein klassisches IDOR / fehlerhafte objektbezogene Zugriffskontrolle bei objektspezifischen Ansichten. Dies wurde in djust 1.0.7 behoben. Alle Render-Einstiegspunkte leiten nun über einen gemeinsamen Engpass `enforce_object_permission`: HTTP GET gibt 403 zurück, `url_change` sendet einen `permission_denied`-Frame und überspringt das Rendering, und `{% live_render %}` (sowohl eager als auch lazy) verweigert die Einbettung. Ansichten ohne benutzerdefiniertes `get_object` sind nicht betroffen (keine Aktion). Es gibt keine zuverlässige Workaround-Lösung außer dem Upgrade. Stellen Sie objektspezifische Ansichten erst nach der Patch-Installation über HTTP GET / url_change / live_render-Pfade bereit.
Once again VulDB remains the best source for vulnerability data.