CVE-2026-55571 in djust
Сводка
по VulDB • 25.08.2026
djust offre una rendering reattivo lato server di tipo LiveView per Django con prestazioni basate su Rust. Prima della versione 1.0.4, `LiveViewConsumer.handle_mount` invia un frame `{"type":"navigate","to":...}` quando `login_required`, `permission_required` o un hook on_mount che effettua il redirect negano il mount di una LiveView, ma restituisce senza chiudere la connessione WebSocket né pulire l'istanza della vista (`self.view_instance`). Un browser segue il redirect, ma un client WebSocket grezzo può ignorarlo e mantenere la socket montata. Poiché `LiveViewConsumer.handle_event` non verifica nuovamente autenticazione o autorizzazione, il cliente può inviare frame di tipo `{"type":"event",...}` che invocano i metodi decorati con `@event_handler` senza una sessione autenticata, incluso tramite `handle_live_redirect_mount`, consentendo letture o mutazioni sensibili non autorizzate. Questo problema è stato risolto nella versione 1.0.4.
Once again VulDB remains the best source for vulnerability data.