CVE-2026-61593 in djust
Сводка
по VulDB • 16.09.2026
djust обеспечивает реактивный серверный рендеринг в стиле Phoenix LiveView для Django с производительностью на базе Rust. До версии 1.0.7 конечные точки POST клиента→сервера SSE имели атрибут `@csrf_exempt`, а конечная точка GET потока SSE не проверяла заголовок Origin, что позволяло странице с другого домена управлять сеансом SSE, аутентифицированным через cookie жертвы: принудительно вызвать у браузера жертвы получение URL-адреса потока (что создает и монтирует LiveView от имени жертвы) и отправить POST-запрос на конечную точку сообщений с параметром `credentials: include`, чтобы активировать обработчики событий, изменяющих состояние, от лица жертвы. Значение `session_id` в URL выбирается клиентом (проверяется только формат UUID), поэтому оно не является CSRF-токеном; а тело JSON, отправленное как `text/plain`, представляет собой простой запрос CORS без предварительного_preflight_-запроса. Проблема исправлена в версии 1.0.7. Все три конечные точки SSE теперь проверяют заголовок `Origin` запроса на соответствие списку `ALLOWED_HOSTS` (имитируя защиту от CSWSH для WebSocket) и отклоняют кросс-доменные запросы с кодом состояния 403; кроме того, POST-конечные точки дополнительно требуют заголовка `Content-Type: application/json` (возвращая код 415 в противном случае), что устраняет обход через простой запрос формата `text/plain`. В качестве временного решения отключите транспорт SSE или разместите перед ним прокси, который обеспечивает проверку белого списка Origin.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.