CVE-2026-61592 in djust
要約
〜によって VulDB • 2026年09月17日
djustは、RustによるパフォーマンスでDjangoにPhoenix LiveViewスタイルのリアクティブなサーバーサイドレンダリングを提供します。バージョン1.0.7以前では、SSEセッションはクライアントが選択した`session_id`のみによってキー付けされており、認証済みユーザーとのバインディングがありませんでした（WebSocketトランスポートにはこの制御がありますが、SSEでは廃止されました）。攻撃者が`session_id`を学習した場合、または被害者が漏洩させた場合、メッセージエンドポイントに接続し、被害者のアイデンティティとステートで実行されるイベントハンドラを発行できます。これはdjust 1.0.7で修正されています。各SSEセッションは作成時に所有者のプリンシパルにバインドされ、クロスプリンシパルのアクセスは拒否されます。また、SSEセッションの作成はプリンシパルごとに制限されました。回避策として、SSEトランスポートを無効化してください。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.