CVE-2026-61591 in djust
要約
〜によって VulDB • 2026年09月17日
djustは、RustによるパフォーマンスでDjangoにPhoenix LiveViewスタイルのリアクティブなサーバーサイドレンダリングを提供します。バージョン1.0.7以前では、状態スナップショットを有効にするビューにおいて、クライアントページに埋め込まれたスナップショット`state_json`が再接続時に整合性チェックなしで信頼できるビュー状態として復元されていました。攻撃者は自分のページの署名付きでない`state_json`を編集し、再接続マウントフレーム内でそれを返すことで任意のビュー属性を注入できます（例：`is_admin`を`True`に切り替える、または`account_id`/`balance`を変更する）。これにより、権限昇格や公開されたビュー属性内に保持されるビジネス状態への改ざんが可能になります（通常のdjustのパターン）。この問題はdjust 1.0.7で修正されました。状態スナップショットに署名が行われ、バックナビゲーションの復元パスにおいて署名なしまたは偽造のスナップショットは拒否されます。回避策として、状態スナップショットを有効にしないこと、および公開されたビュー属性内に認証/所有権の状態を持たせないことが推奨されます。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.