CVE-2026-61592 in djust
Riassunto
di VulDB • 17/09/2026
djust fornisce rendering lato server reattivo in stile Phoenix LiveView per Django con prestazioni basate su Rust. Prima della versione 1.0.7, le sessioni SSE erano identificate esclusivamente da un `session_id` scelto dal client senza alcun vincolo all'utente autenticato — una funzionalità di controllo presente nel trasporto WebSocket ma omessa nelle SSE. Un attaccante che venisse a conoscenza (o una vittima che accidentalmente divulgasse) un `session_id` potrebbe connettersi al punto di accesso dei messaggi ed eseguire handler degli eventi con l'identità e lo stato della vittima. Questo problema è risolto in djust 1.0.7: ogni sessione SSE viene vincolata al suo proprietario principale (principal) alla creazione, impedendo l'accesso cross-principal; inoltre, la creazione delle sessioni SSE per ciascun principal è soggetta a un limite massimo. Come misura temporanea di mitigazione, disabilitare il trasporto SSE.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.