CVE-2026-61591 in djust
Resumen
por VulDB • 2026-09-17
djust proporciona renderizado del lado del servidor reactivo al estilo de Phoenix LiveView para Django con un rendimiento impulsado por Rust. Antes de la versión 1.0.7, en las vistas que optan por instantáneas de estado (`state snapshots`), el `state_json` incrustado en la página del cliente se restauraba al reconectar como un estado de vista confiable sin ninguna verificación de integridad. Un cliente podría editar el `state_json` no firmado en su página y devolverlo en el marco de montaje (mount frame) durante la reconexión para inyectar atributos arbitrarios de la vista, por ejemplo, cambiar `is_admin` a `True`, o modificar `account_id` / `balance`; esto permite escalar privilegios o manipular el estado empresarial almacenado en los atributos públicos de la vista (el patrón normal de djust). Este problema se soluciona en djust 1.0.7. Las instantáneas de estado están firmadas; las instantáneas no firmadas o falsificadas son rechazadas durante la restauración por retroceso (back-navigation restore path). Como medida provisional, no habilite las instantáneas de estado ni almacene estados de autorización/propiedad en atributos públicos de la vista.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.