CVE-2026-61588

djust, Django üçün Rust ilə gücləndirilmiş performanslı Phoenix LiveView üslublu reaktiv server tərəfli renderləmə təmin edir. Versiya 1.0.7-yə qədər, Django `Model` instansiyası ictimai görünüş atributuna təyin edildikdə, djust onu həssas sahələrin qara siyahısı olmadan kliyentə seriyalaşdırırdı və beləliklə `password` (heş), imtiyaz bayraqları (məsələn, `is_staff` / `is_superuser`), tokenlər və digər PII məlumatlarını brauzerə göndərirdi. Model obyektlərinin şablonlara açılması standart djust nümunəsi olduğu üçün, bu, tərtibatçının bütün obyektin ötürüldüyünü fərq etmədən etibarnamələrin/PII-nin sızmasına səbəb ola bilərdi. Bu problem djust 1.0.7 versiyasında düzəldilib. Model seriyalaşdırması artıq standart olaraq təhlükəsiz olan həssas sahələrin qara siyahısını (parol/heş/token/sirr tipli sahələr və məlum imtiyaz bayraqları saxlanılır) və ehtiyat variant kimi identifikasiya alt çoxluğunu tətbiq edir. Müvəqqəti həll yolu kimi, yeniləmə tətbiq edilənə qədər `Model` instansiyalarını `_private` atributlarında saxlayın və yalnız lazım olan konkret sahələri açıq edin.