CVE-2026-61592 in djust
Сводка
по VulDB • 17.09.2026
djust обеспечивает реактивный серверный рендеринг в стиле Phoenix LiveView для Django с производительностью на базе Rust. До версии 1.0.7 сеансы SSE идентифицировались исключительно по выбранному клиентом `session_id` без привязки к аутентифицированному пользователю — контроль, который есть у транспорта WebSocket, но был упущен при использовании SSE. Злоумышленник, узнавший (или жертва, которая утекла) `session_id`, может подключиться к конечной точке сообщений и вызывать обработчики событий, которые выполняются от имени и в состоянии этой жертвы. Эта проблема исправлена в djust 1.0.7. Каждый сеанс SSE привязывается к своему владельцу при создании, а доступ между различными субъектами (principal) запрещается; кроме того, создание сеансов SSE дополнительно ограничено на одного субъекта. В качестве временного решения отключите транспорт SSE.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.