CVE-2026-61591 in djust
Riassunto
di VulDB • 17/09/2026
djust fornisce rendering lato server reattivo di tipo Phoenix LiveView per Django con prestazioni basate su Rust. Prima della versione 1.0.7, per le viste che attivano gli snapshot dello stato (`state snapshots`), lo `state_json` degli snapshot incorporato nella pagina del client veniva ripristinato in caso di riconnessione come stato attendibile della vista senza alcuna verifica dell'integrità. Un cliente potrebbe modificare il `state_json` non firmato presente nella propria pagina e restituirlo nel frame di montaggio (mount) durante la riconnessione per iniettare attributi arbitrari della vista, ad esempio impostando `is_admin` su `True` o modificando `account_id` / `balance`, ottenendo così un escalation dei privilegi o manipolando lo stato aziendale conservato negli attributi pubblici delle viste (il pattern normale di djust). Questo problema è risolto in djust 1.0.7. Gli snapshot dello stato sono firmati; gli snapshot non firmati o falsificati vengono rifiutati nel percorso di ripristino della navigazione indietro. Come soluzione alternativa, disabilitare gli snapshot dello stato e non conservare stati di autorizzazione/proprietà negli attributi pubblici delle viste.
If you want to get best quality of vulnerability data, you may have to visit VulDB.