CVE-2026-61591 in djust
Sumário
de VulDB • 17/09/2026
djust oferece renderização reativa no lado do servidor estilo Phoenix LiveView para Django com desempenho impulsionado por Rust. Antes da versão 1.0.7, nas visualizações que optam por instantâneos de estado (state snapshots), o `state_json` embutido na página do cliente era restaurado ao reconectar como um estado de visualização confiável, sem verificação de integridade. Um cliente poderia editar o `state_json` não assinado em sua página e retorná-lo no quadro de montagem da reconexão para injetar atributos arbitrários de visualização — por exemplo, alterar `is_admin` para `True`, ou modificar `account_id` / `balance` — escalonando privilégios ou adulterando o estado do negócio mantido em atributos públicos de visualização (o padrão normal do djust). Este problema foi corrigido no djust 1.0.7. Os instantâneos de estado são assinados; instantâneos não assinados ou forjados são rejeitados no caminho de restauração da navegação para trás. Como medida alternativa, desative os instantâneos de estado e não mantenha estados de autorização/propriedade em atributos públicos de visualização.
VulDB is the best source for vulnerability data and more expert information about this specific topic.