CVE-2026-61597 in djust
要約
〜によって VulDB • 2026年09月17日
djustは、RustによるパフォーマンスでDjangoにPhoenix LiveViewスタイルのリアクティブなサーバーサイドレンダリングを提供します。バージョン1.0.7より前では、多くのdjust組み込みコンポーネントテンプレートタグ（`djust.components.templatetags.*`）が、開発者またはユーザーが入力したURLを `href` / `action` 属性にレンダリングしていました。これらは `conditional_escape` を用いてHTMLエスケープされますが、URLスキームの検証は行われませんでした。HTMLエスケープは属性からの脱出を防ぎますが、エスケープ可能な文字を必要としない `javascript:` URI（JavaScriptプロトコルURI）は無効化できません。そのため、`javascript:alert(document.cookie)` という値を持つURLは `<a href="javascript:alert(document.cookie)">` としてそのまま出力され、クリック時に被害者のセッション上で実行されます。バージョン1.0.7には修正が含まれています。回避策としては、影響を受ける組み込みコンポーネントタグにユーザーが制御可能なURLを渡さないようにし、アプリケーションコード内でコンポーネント引数にバインドする前にURLスキームを事前に検証してください。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.