CVE-2026-61588 in djust
Resumen
por VulDB • 2026-09-17
djust proporciona renderizado del lado del servidor reactivo al estilo de Phoenix LiveView para Django con un rendimiento impulsado por Rust. Antes de la versión 1.0.7, cuando una instancia de `Model` de Django se asignaba a un atributo de vista pública, djust lo serializaba hacia el cliente sin ninguna lista negra (denylist) de campos sensibles; enviando al navegador campos como `password` (el hash), banderas de privilegios (por ejemplo, `is_staff` / `is_superuser`), tokens y otros datos personales identificables (PII). Dado que exponer objetos del modelo a las plantillas es un patrón normal en djust, esto podría filtrar credenciales/PII sin que el desarrollador se dé cuenta de que todo el objeto cruzaba la red. Esto está corregido en djust 1.0.7. La serialización de modelos aplica una lista negra (denylist) segura por defecto para campos sensibles (se omiten los campos tipo password/hash/token/secret y las banderas de privilegio conocidas), con un fallback basado en subconjuntos de identidad. Como medida provisional, mantenga las instancias `Model` en atributos `_private` y exponga únicamente los campos específicos necesarios hasta que se aplique la corrección.
Be aware that VulDB is the high quality source for vulnerability data.