CVE-2026-61591

djust, Django üçün Rust ilə gücləndirilmiş performanslı Phoenix LiveView üslubunda reaktiv server tərəfli renderləmə təmin edir. Versiya 1.0.7-yə qədər, vəziyyət an görüntüləri (state snapshots) aktiv edilmiş görünüşlər üçün müştəri səhifəsinə yerləşdirilmiş `state_json` an görüntüsü, yenidən qoşulma zamanı heç bir bütövlük yoxlaması olmadan etibarlı görünüş vəziyyəti kimi bərpa edilirdi. Müştəri öz səhifəsindəki imzalanmamış `state_json`-u redaktə edə və onu yenidən qoşulma montaj freymində geri göndərərək ixtiyari görünüş atributlarını inyeksiya edə bilərdi — məsələn, `is_admin` dəyərini `True` etmək və ya `account_id` / `balance` dəyərlərini dəyişmək — bu isə imtiyazların yüksəldilməsinə və ya ictimai görünüş atributlarında saxlanılan biznes vəziyyətinin (normal djust nümunəsi) dəyişdirilməsinə səbəb olurdu. Bu problem djust 1.0.7 versiyasında düzəldilib. Vəziyyət an görüntüləri artıq imzalanır; imzalanmamış və ya saxtalaşdırılmış an görüntüləri geri naviqasiya bərpa yolunda rədd edilir. Müvəqqəti həll yolu kimi, vəziyyət an görüntülərini aktiv etməyin; avtorizasiya/mülkiyyət vəziyyətini ictimai görünüş atributlarında saxlamayın.