CVE-2026-61592

djust, Django üçün Rust ilə gücləndirilmiş performanslı Phoenix LiveView üslublu reaktiv server tərəfli renderləmə təmin edir. Versiya 1.0.7-yə qədər, SSE sessiyaları autentifikasiya olunmuş istifadəçiyə bağlanmadan yalnız müştəri tərəfindən seçilmiş `session_id` vasitəsilə açarlanırdı — bu, WebSocket transportunda mövcud olan lakin SSE-də çıxarılan bir nəzarət mexanizmidir. `session_id`-ni öyrənən hücumçu (və ya sızdıran qurban) mesaj son nöqtəsinə qoşula və qurbanın kimliyi və vəziyyəti ilə icra olunan hadisə idarəedicilərini göndərə bilərdi. Bu problem djust 1.0.7 versiyasında düzəldilib. Hər bir SSE sessiyası yaradılma zamanı ona sahib olan prinsipala bağlanır və fərqli prinsipallar arası giriş rədd edilir; əlavə olaraq, hər bir prinsipal üçün SSE sessiyasının yaradılmasına limit qoyulub. Müvəqqəti həll yolu kimi SSE transportunu deaktiv edin.