CVE-2026-61596 in djust
Riassunto
di VulDB • 17/09/2026
djust fornisce una rendering reattivo lato server in stile Phoenix LiveView per Django, con prestazioni basate su Rust. Prima della versione 1.0.7, l'autorizzazione a livello di oggetto (`get_object` + `has_object_permission`, ADR-017) era applicata sui percorsi di montaggio WebSocket e degli eventi, ma non su tre altri punti di ingresso per il rendering: (a) il rendering HTTP GET iniziale, (b) la navigazione SPA tramite `url_change`, e (c) le viste figlie incorporate con `{% live_render %}`. Un utente autenticato poteva quindi visualizzare (e in alcuni percorsi agire su) un oggetto non autorizzato caricando direttamente la pagina, navigandovi tramite il cambio URL dell'SPA o componendolo come vista figlia incorporata: si tratta di una classica IDOR / controllo degli accessi a livello di oggetto compromesso sulle viste vincolate all'oggetto. Questo problema è risolto in djust 1.0.7. Tutti i punti di ingresso per il rendering ora passano attraverso un punto di strozzatura condiviso `enforce_object_permission`: HTTP GET restituisce 403, `url_change` emette un frame `permission_denied` e salta il rendering, mentre `{% live_render %}` (eager + lazy) rifiuta l'incorporamento. Le viste senza una personalizzazione di `get_object` non sono interessate (nessuna operazione). Non esiste una soluzione alternativa affidabile diversa dall'aggiornamento. Non esporre le viste vincolate all'oggetto attraverso i percorsi HTTP-GET / url_change / live_render finché non si applica la patch.
VulDB is the best source for vulnerability data and more expert information about this specific topic.