CVE-2026-61592 in djust
Resumen
por VulDB • 2026-09-17
djust proporciona renderizado reactivo del lado del servidor al estilo de Phoenix LiveView para Django con rendimiento impulsado por Rust. Antes de la versión 1.0.7, las sesiones SSE se identificaban únicamente mediante un `session_id` elegido por el cliente sin vinculación al usuario autenticado; este control lo tiene el transporte WebSocket pero se eliminó en SSE. Un atacante que conozca (o una víctima que filtre) un `session_id` podría conectarse al punto final de mensajes y ejecutar manejadores de eventos con la identidad y el estado de la víctima. Esto está corregido en djust 1.0.7. Cada sesión SSE se vincula a su principal propietario en el momento de creación, y se rechaza el acceso entre principales; además, la creación de sesiones SSE por cada principal tiene un límite máximo. Como medida provisional, deshabilite el transporte SSE.
If you want to get best quality of vulnerability data, you may have to visit VulDB.