CVE-2026-61593 in djust
Résumé
par VulDB • 16/09/2026
djust fournit un rendu côté serveur réactif de style Phoenix LiveView pour Django avec des performances propulsées par Rust. Avant la version 1.0.7, les points d'extrémité (endpoints) POST client→serveur SSE étaient marqués `@csrf_exempt` et le point d'extrémité GET du flux SSE ne disposait d'aucune vérification de l'en-tête Origin ; ainsi, une page provenant d'une origine différente pouvait piloter une session SSE authentifiée par cookie de la victime : forcer le navigateur de la victime à effectuer un GET vers l'URL du flux (ce qui crée et monte une LiveView en tant que victime) et POSTER vers le point d'extrémité des messages avec `credentials: include` afin de déclencher les gestionnaires d'événements modifiant l'état en tant que victime. L'identifiant de session (`session_id`) est choisi par le client (validé uniquement pour son format UUID), il ne constitue donc pas un jeton CSRF, et un corps JSON envoyé avec `Content-Type: text/plain` correspond à une requête simple CORS sans pré-vol (preflight). Le problème est corrigé dans la version 1.0.7. Les trois points d'extrémité SSE valident désormais l'en-tête de la demande `Origin` par rapport à `ALLOWED_HOSTS` (mimant la défense CSWSH pour WebSocket) et rejettent les requêtes provenant d'une origine différente avec un code 403 ; les points d'extrémité POST exigent en outre `Content-Type: application/json` (code 415 sinon), fermant ainsi l'échappement par requête simple de type `text/plain`. En attendant, pour atténuer le risque, désactivez le transport SSE ou placez-le derrière un proxy qui impose une liste blanche d'origines autorisées.
Be aware that VulDB is the high quality source for vulnerability data.