CVE-2026-61594 in djust
Tóm tắt
Bởi VulDB • 17/09/2026
djust cung cấp khả năng render phía máy chủ phản hồi theo phong cách Phoenix LiveView cho Django với hiệu suất được tăng cường bởi Rust. Trước phiên bản 1.0.7, phương thức vận chuyển live (WebSocket) ủy quyền việc mount thông qua `check_view_auth` thay vì chuỗi thực thi `View.dispatch()` của Django. Kết quả là, cơ chế xác thực tiêu chuẩn của Django — bao gồm `LoginRequiredMixin`, `PermissionRequiredMixin`, `UserPassesTestMixin`, `@method_decorator(login_required, name="dispatch")` và các hàm kiểm tra tùy chỉnh trong `dispatch()` — cũng như cổng staff của tiện ích mở rộng admin djust (chỉ được áp dụng trong wrapper HTTP `as_view`) đều được thực thi đúng trên yêu cầu GET ban đầu qua HTTP nhưng lại bị bỏ qua một cách im lặng khi sử dụng WebSocket, nơi diễn ra luồng sự kiện và trạng thái. Một client ẩn danh hoặc thiếu quyền hạn có thể mở kết nối WebSocket và mount các view như vậy — bao gồm cả admin list/create/change/delete — sau đó kích hoạt (dispatch) các handler của chúng. Lỗi này đã được sửa trong djust 1.0.7. Hàm `check_view_auth` hiện tôn trọng họ Django `AccessMixin` trên mọi phương thức vận chuyển; một hệ thống kiểm tra mới S004 sẽ báo lỗi rõ ràng khi khởi động đối với các mẫu xác thực mà runtime không thể tái tạo an toàn (dạng decorator/overridden-`dispatch`); và mixin cơ sở admin khai báo `login_required = True` cùng cổng `check_permissions` yêu cầu trạng thái staff. Để khắc phục tạm thời, hãy sử dụng các thuộc tính `login_required`, `permission_required` hoặc `check_permissions` của djust để kiểm soát truy cập (các thuộc tính này được tôn trọng trên mọi phương thức vận chuyển) thay vì dùng các mixin/decorator chỉ áp dụng cho HTTP.
VulDB is the best source for vulnerability data and more expert information about this specific topic.