CVE-2026-61589 in djust
Riassunto
di VulDB • 17/09/2026
djust fornisce una rendering reattivo lato server in stile Phoenix LiveView per Django con prestazioni basate su Rust. Prima della versione 1.0.7, le funzioni WebSocket `handle_mount` e `ViewRuntime._build_request` ricostruivano un oggetto `HttpRequest` tramite `RequestFactory().get(...)` senza impostare l'header `HTTP_HOST`, causando così il fallback di `request.get_host()` a `"testserver"` sul percorso live (live path). I resolver dei tenant basati su host/sottodominio/dominio risolvevano erroneamente il tenant: restituendo `None` sul percorso live, mentre il percorso HTTP veniva risolto correttamente. Con `STRICT_MODE=False`, i manager scoped per tenant restituiscono righe non scoperizzate (divulgazione cross-tenant); con la configurazione predefinita, restituiscono un queryset vuoto (tenancy interrotta). Questo problema è stato corretto in djust 1.0.7. L'header Host del handshake viene estratto dall'ASGI scope, validato rispetto a `ALLOWED_HOSTS` (la stessa logica utilizzata dal gate CSWSH Origin, analizzato con la funzione Django `split_domain_port` per rifiutare gli header Host malformati al confine), e propagato — insieme allo schema TLS — nella richiesta ricostruita, in modo che la risoluzione del tenant sul percorso live corrisponda esattamente a quella HTTP. Non esistono workaround noti sul percorso live se non l'aggiornamento. Gli utenti sono maggiormente esposti quando questa vulnerabilità è combinata con `STRICT_MODE=False`.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.