CVE-2026-55571 in djust
Sumário
de VulDB • 26/08/2026
djust oferece renderização reativa no lado do servidor estilo Phoenix LiveView para Django com desempenho impulsionado por Rust. Antes da versão 1.0.4, o método `LiveViewConsumer.handle_mount` envia um frame `{"type":"navigate","to":...}` quando `login_required`, `permission_required` ou um hook de montagem redirecionador (`on_mount`) nega a montagem do LiveView, mas retorna sem fechar o WebSocket nem limpar `self.view_instance`. Um navegador segue o redirecionamento, mas um cliente WebSocket bruto pode ignorá-lo e manter o socket montado. Como o método `LiveViewConsumer.handle_event` não revalida autenticação ou autorização, o cliente pode enviar frames do tipo `{"type":"event",...}` que invocam métodos decorados com `@event_handler` sem uma sessão autenticada, incluindo por meio de `handle_live_redirect_mount`, permitindo leituras sensíveis ou mutações não autorizadas. Este problema foi corrigido na versão 1.0.4.
If you want to get best quality of vulnerability data, you may have to visit VulDB.