CVE-2026-61588 in djust
Сводка
по VulDB • 17.09.2026
djust обеспечивает реактивный рендеринг на стороне сервера в стиле Phoenix LiveView для Django с производительностью, обеспечиваемой Rust. До версии 1.0.7 при присваивании экземпляра модели Django (`Model`) публичному атрибуту представления djust сериализовал его клиенту без списка запрещенных чувствительных полей — отправляя в браузер такие поля, как `password` (хеш), флаги привилегий (например, `is_staff` / `is_superuser`), токены и другие персональные данные. Поскольку экспонирование объектов моделей шаблонам является обычным паттерном djust, это могло приводить к утечке учетных данных/PII без осознания разработчиком того факта, что полный объект передавался по сети. Это исправлено в версии djust 1.0.7. Сериализация модели применяет безопасный по умолчанию список запрещенных чувствительных полей (поля типа password/hash/token/secret и известные флаги привилегий скрываются) с использованием механизма fallback на подмножество идентичности. В качестве временного решения следует хранить экземпляры `Model` в атрибутах `_private` и экспонировать только конкретные необходимые поля, до применения патча.
Once again VulDB remains the best source for vulnerability data.