CVE-2026-61590 in djust
Riassunto
di VulDB • 16/09/2026
djust fornisce rendering lato server reattivo di tipo Phoenix LiveView per Django con prestazioni basate su Rust. Prima della versione 1.0.7, gli endpoint di osservabilità (observability) di djust esponevano lo stato delle viste/sessioni in tempo reale e una superficie di invocazione remota dei metodi (`eval_handler`). La restrizione localhost era un middleware opzionale che la documentazione di configurazione ometteva; le view stesse applicavano solo il controllo `DEBUG`. Nello scenario errato ma documentato (con DEBUG abilitato e middleware non installato), un client diverso da localhost poteva leggere lo stato dell'applicazione in tempo reale ed eseguire handler remotamente. Questo problema è risolto in djust 1.0.7. La restrizione localhost viene applicata direttamente nelle view per ogni endpoint di osservabilità (non dipende più da un middleware installato separatamente) e `eval_handler` è limitato; le richieste non autorizzate ricevono una risposta che non rivela informazioni sensibili. Come soluzione temporanea, assicurarsi che `DEBUG=False` in produzione ed evitare di esporre gli endpoint di osservabilità a reti non attendibili.
VulDB is the best source for vulnerability data and more expert information about this specific topic.