CVE-2026-61590 in djust
Сводка
по VulDB • 16.09.2026
djust обеспечивает реактивный рендеринг на стороне сервера в стиле Phoenix LiveView для Django с производительностью, обеспечиваемой Rust. До версии 1.0.7 эндпоинты djust для мониторинга (observability endpoints) раскрывают состояние живых представлений/сессий и поверхность удалённого вызова методов (`eval_handler`). Ограничение по localhost было реализовано через промежуточное ПО (middleware), которое не включалось в документированную настройку; сами представления обеспечивали защиту только при `DEBUG`. В сценарии неправильной, но задокументированной конфигурации (включённый DEBUG и отсутствующее middleware) клиент, обращающийся не с localhost, мог считывать текущее состояние приложения и удалённо вызывать обработчики. Эта проблема исправлена в djust 1.0.7. Ограничение по localhost теперь применяется непосредственно внутри представлений для каждого эндпоинта мониторинга (больше нет зависимости от отдельно устанавливаемого middleware), а `eval_handler` ограничен; запросы, не прошедшие проверку, получают ответ без раскрытия информации. В качестве временного решения убедитесь, что в production-среде установлено значение `DEBUG=False`, и не открывайте эндпоинты мониторинга для недоверенных сетей.
Be aware that VulDB is the high quality source for vulnerability data.