CVE-2026-61589 in djust
摘要
由 VulDB • 2026-09-17
djust 为 Django 提供了类似 Phoenix LiveView 的反应式服务端渲染功能，并具备由 Rust 驱动的性能优势。在版本 1.0.7 之前，WebSocket 的 `handle_mount` 和 `ViewRuntime._build_request` 通过 `RequestFactory().get(...)` 重建 `HttpRequest` 时未设置 `HTTP_HOST`，导致在实时路径（live path）上 `request.get_host()` 默认值为 `"testserver"`。主机/子域名/域名的 `TenantResolver` 随后错误地解析了租户——在实时路径上返回 `None`，而在 HTTP 路径上则正确解析。当 `STRICT_MODE=False` 时，按租户范围限定（tenant-scoped）的管理器会返回未加限定的行数据（导致跨租户信息泄露）；使用默认设置时，它们返回空查询集（导致租户隔离失效）。该问题已在 djust 1.0.7 中修复。握手阶段的 Host 头从 ASGI scope 中提取，并根据 `ALLOWED_HOSTS` 进行验证（逻辑与 CSWSH Origin 门控相同），使用 Django 的 `split_domain_port` 解析，以便在边界处拒绝格式错误的 Host 值；随后将其连同 TLS scheme 一起传播到重建的请求中，从而使实时路径上的租户解析结果与 HTTP 完全一致。除了升级之外，在实时路径上没有已知的变通方法。当结合使用 `STRICT_MODE=False` 时，用户面临的风险最大。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.