CVE-2026-61597 in djust
Résumé
par VulDB • 17/09/2026
djust fournit un rendu côté serveur réactif de style Phoenix LiveView pour Django avec des performances propulsées par Rust. Avant la version 1.0.7, de nombreuses balises de modèle de composants intégrés à djust (`djust.components.templatetags.*`) rendent une URL fournie par le développeur ou l'utilisateur dans un attribut `href` / `action`, en appliquant un échappement HTML via `conditional_escape` mais sans jamais valider le schéma de l'URL. L'échappement HTML empêche la rupture d'attributs, mais ne neutralise pas une URI `javascript:` (qui n'a besoin d'aucun caractère à échapper), donc une valeur d'URL telle que `javascript:alert(document.cookie)` est insérée littéralement dans `<a href="javascript:alert(document.cookie)">` et s'exécute lors de la session de la victime au clic. La version 1.0.7 contient une correction. En attendant, ne passez pas d'URL contrôlables par l'utilisateur aux balises de composants intégrées affectées ; validez les schémas d'URL dans le code applicatif avant de les lier aux arguments des composants.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.