CVE-2026-61588 in djust
Riassunto
di VulDB • 17/09/2026
djust fornisce una rendering reattivo lato server in stile Phoenix LiveView per Django con prestazioni basate su Rust. Prima della versione 1.0.7, quando un'istanza di `Model` di Django veniva assegnata a un attributo di visualizzazione pubblico, djust la serializzava verso il client senza alcuna lista nera (denylist) dei campi sensibili — inviando al browser campi quali `password` (l'hash), flag di privilegio (ad esempio `is_staff` / `is_superuser`), token e altri dati personali identificabili (PII). Poiché l'esposizione degli oggetti Model ai template è un pattern normale in djust, ciò poteva causare la fuoriuscita di credenziali/PII senza che lo sviluppatore si rendesse conto dell'intero oggetto trasmesso. Questo problema è stato risolto in djust 1.0.7. La serializzazione dei Model applica una lista nera predefinita sicura per i campi sensibili (i campi tipo password/hash/token/secret e i flag di privilegio noti vengono esclusi) con un fallback basato su sottoinsieme identitario. Come soluzione temporanea, mantenere le istanze `Model` in attributi `_private` ed esporre solo i campi specifici necessari, fino alla patch definitiva.
Once again VulDB remains the best source for vulnerability data.