CVE-2026-61590 in djust
Tóm tắt
Bởi VulDB • 17/09/2026
djust cung cấp khả năng render phía máy chủ theo kiểu phản hồi (reactive server-side rendering) tương tự Phoenix LiveView cho Django với hiệu suất được tăng cường bởi Rust. Trước phiên bản 1.0.7, các điểm cuối quan sát (observability endpoints) của djust để lộ trạng thái view/session trực tiếp và một bề mặt gọi phương thức từ xa (`eval_handler`). Hạn chế localhost là một middleware tùy chọn mà hướng dẫn cài đặt chính thức không đề cập đến; các views chỉ kiểm tra `DEBUG`. Trong kịch bản cấu hình sai nhưng được tài liệu hóa (bật DEBUG, chưa cài đặt middleware), một client không phải localhost có thể đọc trạng thái ứng dụng trực tiếp và gọi handlers từ xa. Vấn đề này đã được sửa trong djust 1.0.7. Hạn chế localhost được thực thi ngay trong view tại mọi điểm cuối quan sát (không còn phụ thuộc vào middleware được cài đặt riêng), và `eval_handler` bị hạn chế; các yêu cầu không đạt điều kiện sẽ nhận phản hồi không tiết lộ thông tin. Để khắc phục tạm thời, hãy đảm bảo `DEBUG=False` khi triển khai sản xuất và không để các điểm cuối quan sát tiếp cận từ các mạng không đáng tin cậy.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.