CVE-2026-61597 in djust
Zusammenfassung
von VulDB • 17.09.2026
djust bietet eine reaktive serverseitige Renderung im Stil von Phoenix LiveView für Django mit durch Rust gesteigerter Performance. Vor Version 1.0.7 rendern viele integrierte djust-Komponenten-Templatetags (`djust.components.templatetags.*`) eine vom Entwickler/Benutzer bereitgestellte URL in ein `href`- oder `action`-Attribut, wobei diese mit `conditional_escape` HTML-maskiert wird, die URL-Schema jedoch niemals validiert wird. Die HTML-Maskierung verhindert das Ausbrechen aus dem Attribut, neutralisiert aber keine `javascript:`-URIs (die keine maskierbaren Zeichen benötigen), sodass ein URL-Wert von `javascript:alert(document.cookie)` unverändert in `<a href="javascript:alert(document.cookie)">` landet und im Session-Kontext des Opfers beim Klicken ausgeführt wird. Version 1.0.7 enthält eine Korrektur. Als Workaround sollten keine benutzerkontrollierbaren URLs an die betroffenen integrierten Komponententags übergeben werden; validieren Sie URL-Schemata in der Anwendungscode vor dem Binden an Komponentenargumente.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.