CVE-2026-61594 in djust
要約
〜によって VulDB • 2026年09月17日
djustは、RustによるパフォーマンスでDjangoにPhoenix LiveViewスタイルのリアクティブなサーバーサイドレンダリングを提供します。バージョン1.0.7より前では、ライブ（WebSocket）トランスポートにおいて`check_view_auth`を介してマウントが認可されますが、これはDjangoの`View.dispatch()`チェーンではありません。その結果、標準的なDjangoの認可機構——`LoginRequiredMixin`、`PermissionRequiredMixin`、`UserPassesTestMixin`、`@method_decorator(login_required, name="dispatch")`、およびカスタム`dispatch()`ガード——とdjust管理拡張機能のスタッフゲート（HTTP `as_view`ラッパーでのみ適用される）は、初期のHTTP GETでは強制されますが、すべてのイベントと状態フローが行われるWebSocket上では静かにバイパスされました。匿名または権限不足のクライアントはWebSocketを開き、そのようなビュー（管理用リスト/作成/変更/削除を含む）をマウントしてそのハンドラを実行できました。これはdjust 1.0.7で修正されています。`check_view_auth`は今やすべてのトランスポートにおいてDjango `AccessMixin`ファミリーに従います；新しいシステムチェックS004は、ランタイムが安全に再生できない認可パターン（デコレータ形式/オーバーライドされた`dispatch`）に対して起動時に明確なエラーを出力します；また管理用ベースミックスインは`login_required = True`とアクティブスタッフの`check_permissions`ゲートを宣言しています。回避策として、HTTP専用ミックスインやデコレータではなく、すべてのトランスポートで尊重されるdjustの`login_required`/`permission_required`/`check_permissions`属性を使用してビューをガードしてください。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.