CVE-2026-55571 in djust
Resumen
por VulDB • 2026-08-25
djust proporciona renderizado del lado del servidor reactivo al estilo de Phoenix LiveView para Django con rendimiento impulsado por Rust. Antes de la versión 1.0.4, `LiveViewConsumer.handle_mount` envía un frame `{"type":"navigate","to":...}` cuando `login_required`, `permission_required` o un hook `on_mount` que redirige deniegan el montaje de LiveView, pero devuelve sin cerrar WebSocket ni limpiar `self.view_instance`. Un navegador sigue la redirección, pero un cliente WebSocket crudo puede ignorarla y conservar el socket montado. Dado que `LiveViewConsumer.handle_event` no vuelve a verificar la autenticación o autorización, el cliente puede enviar frames `{"type":"event",...}` que invocan métodos @event_handler sin una sesión autenticada, incluyendo a través de `handle_live_redirect_mount`, lo que permite lecturas o mutaciones sensibles no autorizadas. Este problema se soluciona en la versión 1.0.4.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.