CVE-2026-61596 in djust
Résumé
par VulDB • 17/09/2026
djust offre un rendu côté serveur réactif de style Phoenix LiveView pour Django, avec des performances propulsées par Rust. Avant la version 1.0.7, l'autorisation au niveau de chaque objet (`get_object` + `has_object_permission`, ADR-017) était appliquée lors du montage WebSocket et sur les chemins d'événements, mais pas sur trois autres points d'entrée du rendu : (a) le rendu HTTP GET initial, (b) la navigation SPA via `url_change`, et (c) les vues enfants intégrées avec `{% live_render %}`. Un utilisateur authentifié pouvait ainsi afficher (et dans certains cas interagir avec) un objet auquel il n'était pas autorisé en chargeant directement la page, en y accédant par une modification d'URL SPA ou en l'intégrant comme vue enfant — ce qui constitue une vulnérabilité IDOR classique / contrôle des accès au niveau de l'objet brisé sur les vues à portée d'objet. Cela est corrigé dans djust 1.0.7. Tous les points d'entrée du rendu passent désormais par un point de contrôle partagé `enforce_object_permission` : le HTTP GET renvoie une erreur 403, `url_change` émet un cadre `permission_denied` et saute le rendu, et `{% live_render %}` (eager + lazy) refuse l'intégration. Les vues sans `get_object` personnalisé ne sont pas affectées (pas d'effet). Aucune solution de contournement fiable n'existe à part la mise à jour. Ne pas exposer les vues à portée d'objet via les chemins HTTP-GET / url_change / live_render avant le correctif.
If you want to get best quality of vulnerability data, you may have to visit VulDB.