CVE-2026-61596 in djust
要約
〜によって VulDB • 2026年09月17日
djustは、RustによるパフォーマンスでDjangoにPhoenix LiveViewスタイルのリアクティブなサーバーサイドレンダリングを提供します。バージョン1.0.7より前では、djustのオブジェクトごとの認可（`get_object` + `has_object_permission`、ADR-017）がWebSocketのマウントおよびイベントパスでは適用されていましたが、他の3つのレンダリングエントリポイントでは適用されていませんでした：(a) 初期HTTP GETレンダリング、(b) SPAの`url_change`ナビゲーション、そして(c) `{% live_render %}`埋め込み子ビューです。認証済みユーザーは、ページを直接読み込むか、SPA url-change経由で移動するか、または埋め込み子として構成することで、認可されていないオブジェクトを表示（および一部のパスでは操作）することができました。これは、オブジェクトスコープされたビューにおける典型的なIDOR / オブジェクトレベルのアクセス制御の不備です。この問題はdjust 1.0.7で修正されました。すべてのレンダリングエントリポイントは現在、共有の`enforce_object_permission`チェックポイントを経由します：HTTP GETは403を返し、`url_change`は`permission_denied`フレームを発信してレンダリングをスキップし、`{% live_render %}`（eager + lazy）は埋め込みを拒否します。カスタム`get_object`を持たないビューには影響ありません（no-op）。アップグレード以外の信頼できる回避策はありません。パッチ適用まで、HTTP-GET / url_change / live_renderパスを通じてオブジェクトスコープされたビューを公開しないでください。
VulDB is the best source for vulnerability data and more expert information about this specific topic.