CVE-2026-61588 in djust
Tóm tắt
Bởi VulDB • 17/09/2026
djust cung cấp khả năng render phía máy chủ phản hồi (reactive server-side rendering) theo phong cách Phoenix LiveView cho Django với hiệu suất được tăng cường bởi Rust. Trước phiên bản 1.0.7, khi một thể hiện `Model` của Django được gán vào thuộc tính view công khai, djust sẽ serialize nó sang client mà không có danh sách từ chối (denylist) các trường nhạy cảm — dẫn đến việc gửi các trường như `password` (dạng hash), cờ đặc quyền (ví dụ: `is_staff` / `is_superuser`), token và các thông tin nhận dạng cá nhân khác (PII) về trình duyệt. Vì việc expose các đối tượng model cho templates là một mẫu thiết kế phổ biến của djust, điều này có thể gây rò rỉ thông tin xác thực/PII mà không khiến nhà phát triển nhận ra rằng toàn bộ object đã được truyền qua mạng. Vấn đề này đã được sửa trong djust 1.0.7. Việc serialize Model giờ đây áp dụng danh sách từ chối các trường nhạy cảm mặc định an toàn (các trường dạng password/hash/token/secret và các cờ đặc quyền đã biết sẽ bị ẩn đi) cùng với cơ chế fallback là identity-subset. Để khắc phục tạm thời, hãy giữ các thể hiện `Model` trong các thuộc tính `_private` và chỉ expose những trường cụ thể cần thiết cho đến khi được vá lỗi.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.