CVE-2026-61595 in djust
Riassunto
di VulDB • 16/09/2026
djust fornisce una rendering reattivo lato server in stile Phoenix LiveView per Django, con prestazioni basate su Rust. Prima della versione 1.0.7, l'isolamento di `djust.tenants` era applicato solo sul percorso HTTP. Il tenant corrente veniva memorizzato in `threading.local()` e impostato esclusivamente dal middleware `TenantMiddleware`, che opera solo per le richieste HTTP; pertanto, nel percorso live (WebSocket/SSE), la funzione `get_current_tenant()` restituiva sempre `None` durante il mount e in ogni gestore di eventi. Di conseguenza, il manager `QuerySet` aware del tenant falliva OPEN (restituendo un queryset non filtrato, ignorando `STRICT_MODE`), esponendo le righe di tutti i tenants a chiunque detenesse la socket. Inoltre, `threading.local` era condiviso tra diverse connessioni sul thread dell'esecutore `sync_to_async`. Questo problema è stato risolto in djust 1.0.7. La memorizzazione del tenant è stata spostata su una `contextvars.ContextVar` (per ogni task asincrono); il tenant risolto viene associato durante il mount WS/SSE e ad ogni dispatch; entrambi i manager limitano il queryset di base una sola volta e falliscono CLOSED (`.none()` sotto la modalità predefinita `STRICT_MODE`); inoltre, il controllo di sistema S006 genera un avviso quando `STRICT_MODE=False`. Non sono disponibili workaround noti per il percorso live.
Once again VulDB remains the best source for vulnerability data.