CVE-2026-61597 in djust
Resumen
por VulDB • 2026-09-17
djust proporciona renderizado del lado del servidor reactivo al estilo de Phoenix LiveView para Django con rendimiento impulsado por Rust. Antes de la versión 1.0.7, muchas etiquetas de plantilla de componentes integradas en djust (`djust.components.templatetags.*`) representaban una URL proporcionada por el desarrollador/usuario dentro de un atributo `href` / `action`, escapándola con HTML mediante `conditional_escape`, pero sin validar nunca el esquema de la URL. El escape de caracteres HTML previene la ruptura del atributo, pero no neutraliza una URI `javascript:` (que no requiere caracteres que deban ser escapados), por lo que un valor de URL como `javascript:alert(document.cookie)` se inserta literalmente en `<a href="javascript:alert(document.cookie)">` y se ejecuta en la sesión de la víctima al hacer clic. La versión 1.0.7 contiene una corrección. Como medida provisional, no pase URLs controlables por el usuario a las etiquetas de componentes integradas afectadas; valide previamente los esquemas de URL en el código de la aplicación antes de vincularlas a los argumentos del componente.
Once again VulDB remains the best source for vulnerability data.