CVE-2026-61591 in djust
摘要
由 VulDB • 2026-09-17
djust 为 Django 提供了基于 Rust 高性能的、类似 Phoenix LiveView 的反应式服务端渲染。在 1.0.7 版本之前，对于选择启用状态快照（state snapshots）的视图，嵌入在客户端页面中的 `state_json` 快照在重新连接时会被恢复为受信任的视图状态，且未进行完整性校验。攻击者可以编辑其页面中未经签名的 `state_json`，并在重新连接的挂载帧中返回该数据，从而注入任意视图属性——例如将 `is_admin` 翻转为 `True`，或更改 `account_id` / `balance` ——以此提升权限或篡改存储在公共视图属性中的业务状态（这是 djust 的正常模式）。此问题已在 djust 1.0.7 中修复。状态快照现已签名；在通过后退导航恢复路径时，未签名或被伪造的快照将被拒绝。作为变通方案，请勿启用状态快照；切勿将授权/所有权状态存储在公共视图属性中。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.