CVE-2026-61588 in djust
요약
\~에 의해 VulDB • 2026. 09. 17.
djust는 Rust 기반의 성능을 제공하며 Django에서 Phoenix LiveView 스타일의 반응형 서버 측 렌더링을 제공합니다. 버전 1.0.7 이전에서는 Django `Model` 인스턴스가 공개 뷰 속성에 할당될 때, djust가 민감한 필드 차단 목록(denylist) 없이 이를 클라이언트에 직렬화하여 `password`(해시 값), 권한 플래그(예: `is_staff`, `is_superuser`) 및 토큰과 같은 기타 개인식별정보(PII)를 브라우저로 전송했습니다. 모델 객체를 템플릿에 노출하는 것은 djust의 일반적인 패턴이므로, 개발자가 전체 객체가 네트워크를 통해 전달되는 것을 인지하지 못한 채 자격 증명이나 PII가 유출될 수 있습니다. 이 문제는 djust 1.0.7에서 수정되었습니다. Model 직렬화는 기본적으로 민감한 필드 차단 목록(password/hash/token/secret 스타일 필드 및 알려진 권한 플래그는 제외됨)을 적용하며, 신원 부분 집합(identity-subset) 대체 방식을 사용합니다. 패치될 때까지의 우회 방법으로 `Model` 인스턴스를 `_private` 속성에 유지하고 필요한 특정 필드만 노출하십시오.
Once again VulDB remains the best source for vulnerability data.