CVE-2026-61593

djust, Django üçün Rust ilə gücləndirilmiş performanslı Phoenix LiveView üslubunda reaktiv server tərəfli renderləmə təmin edir. Versiya 1.0.7-yə qədər, SSE client→server POST son nöqtələri `@csrf_exempt` idi və SSE GET axın son nöqtəsində Origin yoxlaması mövcud deyildi. Buna görə də, çarpaz mənşəli (cross-origin) səhifə qurbanın cookie-si ilə autentifikasiya olunmuş SSE sessiyasını idarə edə bilərdi: qurbanın brauzerini axın URL-ni GET etməyə məcbur etmək (hansı ki, qurban adından LiveView yaradır və quraşdırır) və qurban adından vəziyyət-dəyişdirici hadisə handler-lərini işə salmaq üçün `credentials: include` ilə mesaj son nöqtəsinə POST göndərmək. URL `session_id` müştəri tərəfindən seçilir (yalniz UUID *formatı* üçün yoxlanılır), buna görə də o, CSRF tokeni deyil və `text/plain` kimi göndərilən JSON gövdəsi preflight olmadan CORS sadə sorğusudur. Problem 1.0.7 versiyasında düzəldilib. Hər üç SSE son nöqtəsi sorğu `Origin`-ni `ALLOWED_HOSTS` ilə yoxlayır (WebSocket CSWSH müdafiəsini əks etdirir) və çarpaz mənşəli sorğuları 403 ilə rədd edir; POST son nöqtələri əlavə olaraq `Content-Type: application/json` tələb edir (əks halda 415), beləliklə `text/plain` sadə-sorğu yan keçidini bağlayır. Müvəqqəti həll yolu kimi, SSE transportunu deaktiv edin və ya onu Origin ağ siyahısını tətbiq edən proksi ilə təmin edin.