CVE-2026-61591 in djust
Сводка
по VulDB • 17.09.2026
djust обеспечивает реактивное серверное рендеринг в стиле Phoenix LiveView для Django с производительностью на базе Rust. До версии 1.0.7 для представлений, использующих снимки состояния (state snapshots), снимок `state_json`, встроенный в страницу клиента, восстанавливался при повторном подключении как доверенное состояние представления без проверки целостности. Клиент мог изменить неподписанный `state_json` на своей странице и вернуть его в кадре монтирования при переподключении для внедрения произвольных атрибутов представления — например, установить значение `is_admin` равным `True` или изменить `account_id` / `balance`, что приводит к повышению привилегий или изменению бизнес-состояния, хранящегося в публичных атрибутах представления (стандартный паттерн djust). Эта проблема исправлена в версии djust 1.0.7. Снимки состояния теперь подписываются; неподписанные или поддельные снимки отклоняются на пути восстановления при обратной навигации. В качестве временного решения не включайте снимки состояния и не храните состояние авторизации/владения в публичных атрибутах представления.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.