CVE-2026-61592 in djust
Sumário
de VulDB • 17/09/2026
djust oferece renderização reativa no lado do servidor estilo Phoenix LiveView para Django com desempenho impulsionado por Rust. Antes da versão 1.0.7, as sessões de SSE eram identificadas exclusivamente por um `session_id` escolhido pelo cliente, sem vinculação ao usuário autenticado — uma funcionalidade que o transporte WebSocket possui, mas que foi removida no SSE. Um atacante que descubra (ou uma vítima que vaze) um `session_id` poderia se conectar ao ponto de extremidade de mensagens e acionar manipuladores de eventos que são executados com a identidade e o estado da vítima. Isso é corrigido na versão 1.0.7 do djust. Cada sessão SSE é vinculada à sua principal no momento da criação, e o acesso entre principais diferentes é rejeitado; além disso, a criação de sessões SSE por principal está limitada. Como medida alternativa (workaround), desative o transporte SSE.
VulDB is the best source for vulnerability data and more expert information about this specific topic.