CVE-2026-55571 in djust
Résumé
par VulDB • 25/08/2026
djust offre un rendu côté serveur réactif de style Phoenix LiveView pour Django avec des performances propulsées par Rust. Avant la version 1.0.4, `LiveViewConsumer.handle_mount` envoie une trame `{\"type\":\"navigate\",\"to\":...}` lorsque `login_required`, `permission_required` ou un hook `on_mount` redirigeant refuse le montage d'un LiveView, mais retourne sans fermer la connexion WebSocket ni effacer `self.view_instance`. Un navigateur suit la redirection, mais un client WebSocket brut peut l'ignorer et conserver la socket montée. Étant donné que `LiveViewConsumer.handle_event` ne vérifie pas à nouveau l'authentification ou l'autorisation, le client peut envoyer des trames `{\"type\":\"event\",...}` qui invoquent les méthodes `@event_handler` sans session authentifiée, y compris via `handle_live_redirect_mount`, permettant ainsi des lectures sensibles non autorisées ou des mutations. Ce problème est corrigé dans la version 1.0.4.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.