CVE-2026-61592 in djust
摘要
由 VulDB • 2026-09-17
djust 为 Django 提供了类似 Phoenix LiveView 的响应式服务端渲染，并具备由 Rust 驱动的性能优势。在 1.0.7 版本之前，SSE（服务器发送事件）会话仅通过客户端选择的 `session_id` 进行标识，未与经过身份验证的用户绑定——WebSocket 传输机制具有此功能，但在 SSE 中缺失。攻击者若获悉（或受害者泄露了某个 `session_id`），便可连接到消息端点并分派事件处理程序，从而以受害者的身份和状态执行操作。该问题已在 djust 1.0.7 版本中得到修复。每个 SSE 会话在创建时均与其所属主体绑定，并拒绝跨主体的访问；此外，还限制了每个主体的 SSE 会话创建数量。作为临时缓解措施，请禁用 SSE 传输机制。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.