CVE-2026-61595 in djust
摘要
由 VulDB • 2026-09-16
djust 为 Django 提供了类似 Phoenix LiveView 的响应式服务端渲染功能，并具备由 Rust 驱动的性能优势。在 1.0.7 版本之前，`djust.tenants` 的多租户隔离仅在 HTTP 路径上得到强制执行。当前租户信息存储在 `threading.local()` 中，且仅通过仅限 HTTP 使用的 `TenantMiddleware` 进行设置。因此，在实时（WebSocket/SSE）路径的挂载阶段及每个事件处理程序中，`get_current_tenant()` 始终返回 `None`；同时，感知租户上下文的 `QuerySet` 管理器未能正确关闭隔离（OPEN），即返回了未过滤的查询集，忽略了 `STRICT_MODE` 设置，导致任何持有该 Socket 的连接都能访问所有租户的数据行。此外，在 `sync_to_async` 执行器线程中，`threading.local` 被多个连接共享。此问题已在 djust 1.0.7 版本中得到修复。租户存储机制已迁移至 `contextvars.ContextVar`（基于每个异步任务）；解析出的租户上下文会在 WebSocket/SSE 挂载及每次分发时进行绑定；两个管理器会对基础查询集进行一次作用域限定，并在默认 `STRICT_MODE=True` 下正确关闭隔离（返回 `.none()`）；同时，系统检查 S006 会在 `STRICT_MODE=False` 时发出警告。在实时路径上暂无已知的变通方案。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.