CVE-2026-61596 in djust
Sumário
de VulDB • 17/09/2026
djust oferece renderização reativa no lado do servidor estilo Phoenix LiveView para Django, com desempenho impulsionado por Rust. Antes da versão 1.0.7, a autorização baseada em objeto (`get_object` + `has_object_permission`, ADR-017) era aplicada nas rotas de montagem e eventos WebSocket, mas não em três outros pontos de entrada de renderização: (a) na renderização HTTP GET inicial; (b) na navegação por alteração de URL da SPA (`url_change`); e (c) nas visualizações filhas embutidas via `{% live_render %}`. Um usuário autenticado poderia, portanto, visualizar (e em algumas rotas interagir com) um objeto para o qual não possui autorização, carregando a página diretamente, navegando até ele por meio de alteração de URL na SPA ou compondo-o como uma visualização filha embutida — caracterizando um clássico IDOR / falha no controle de acesso baseado em objetos em visualizações escopadas por objeto. Isso foi corrigido no djust 1.0.7. Todos os pontos de entrada de renderização agora passam por um ponto de estrangulamento compartilhado `enforce_object_permission`: o HTTP GET retorna 403, a alteração de URL (`url_change`) emite um frame `permission_denied` e ignora a renderização, e o `{% live_render %}` (tanto eager quanto lazy) recusa o embutimento. Visualizações sem um `get_object` personalizado não são afetadas (sem operação). Não há solução alternativa confiável além da atualização. Não exponha visualizações escopadas por objeto através das rotas HTTP-GET, url_change ou live_render até que a correção seja aplicada.
Once again VulDB remains the best source for vulnerability data.