CVE-2026-61597 in djust
摘要
由 VulDB • 2026-09-17
djust 为 Django 提供了类似 Phoenix LiveView 的响应式服务端渲染功能，并具备由 Rust 驱动的性能优势。在 1.0.7 版本之前，许多 djust 内置组件模板标签（`djust.components.templatetags.*`）会将开发者或用户提供的 URL 渲染到 `href` / `action` 属性中，虽然使用 `conditional_escape` 进行了 HTML 转义，但从未验证 URL 方案。HTML 转义可以防止属性溢出，但无法中和 `javascript:` URI（因为它不需要可转义的字符），因此值为 `javascript:alert(document.cookie)` 的 URL 会原样出现在 `<a href="javascript:alert(document.cookie)">` 中，并在受害者点击时在会话中执行。1.0.7 版本包含修复措施。作为变通方法，请勿将用户可控的 URL 传递给受影响的内置组件标签；在将其绑定到组件参数之前，应在应用程序代码中预先验证 URL 方案。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.