CVE-2026-61595 in djust
Sumário
de VulDB • 17/09/2026
djust oferece renderização reativa no lado do servidor estilo Phoenix LiveView para Django, com desempenho impulsionado por Rust. Antes da versão 1.0.7, o isolamento de `djust.tenants` era aplicado apenas ao caminho HTTP. O tenant atual era armazenado em `threading.local()` e definido exclusivamente pelo `TenantMiddleware`, que opera somente no contexto HTTP; portanto, no caminho live (WebSocket/SSE), a função `get_current_tenant()` retornava sempre `None` durante o mount e em todos os handlers de eventos — além disso, o gerenciador de `QuerySet` sensível ao tenant falhava OPEN (retornando um queryset sem filtro, ignorando o `STRICT_MODE`), expondo as linhas de todos os tenants a qualquer pessoa que detivesse o socket. O uso de `threading.local` também era compartilhado entre conexões no thread do executor `sync_to_async`. Este problema foi corrigido na versão 1.0.7 do djust. A armazenagem dos tenants passou a usar um `contextvars.ContextVar` (por tarefa assíncrona); o tenant resolvido é vinculado ao redor do mount WS/SSE e em cada dispatch; ambos os gerenciadores escopam o queryset base uma única vez e falham CLOSED (` .none()` sob o `STRICT_MODE` padrão); e a verificação de sistema S006 exibe um aviso quando `STRICT_MODE=False`. Não há workarounds conhecidos disponíveis no caminho live.
If you want to get best quality of vulnerability data, you may have to visit VulDB.