CVE-2026-61592 in djust
Résumé
par VulDB • 17/09/2026
djust fournit un rendu côté serveur réactif de style Phoenix LiveView pour Django avec des performances propulsées par Rust. Avant la version 1.0.7, les sessions SSE étaient uniquement indexées par un `session_id` choisi par le client, sans liaison à l'utilisateur authentifié — une fonctionnalité que possède le transport WebSocket mais qui a été omise dans le cas de SSE. Un attaquant qui apprend (ou dont la victime divulgue) un `session_id` pourrait se connecter au point de terminaison des messages et déclencher des gestionnaires d'événements s'exécutant avec l'identité et l'état de la victime. Cela est corrigé dans djust 1.0.7. Chaque session SSE est liée à son propriétaire principal lors de sa création, et les accès inter-principaux sont rejetés ; la création des sessions SSE est en outre limitée par principal. En attendant une solution définitive, désactivez le transport SSE.
If you want to get best quality of vulnerability data, you may have to visit VulDB.