CVE-2026-61596

djust, Django üçün Rust ilə gücləndirilmiş performanslı Phoenix LiveView üslublu reaktiv server tərəfli renderləmə təmin edir. Versiya 1.0.7-yə qədər djust-ın obyekt üzrə avtorizasiyası (`get_object` + `has_object_permission`, ADR-017) WebSocket mount və hadisə yolları üçün tətbiq edilirdi, lakin digər üç render giriş nöqtəsində tətbiq olunmuşdu: (a) ilkin HTTP GET renderi, (b) SPA `url_change` naviqasiyası və (c) `{% live_render %}` daxil edilmiş alt görünüşlər. Buna görə də autentifikasiya olunmuş istifadəçi səhifəni birbaşa yükləməklə, SPA url-dəyişimi vasitəsilə ona keçid etməklə və ya onu daxil edilmiş alt element kimi tərtib etməklə icazəsi olmayan obyekti görə bilərdi (və bəzi yollarda onun üzərində əməliyyat apara bilərdi) — bu, obyekt miqyaslı görünüşlərdə klassik IDOR / pozulmuş obyekt səviyyəli giriş nəzarətidir. Bu problem djust 1.0.7 versiyasında düzəldilib. İndi bütün render giriş nöqtələri ortaq `enforce_object_permission` yoxlama nöqtəsindən keçir: HTTP GET 403 qaytarır, `url_change` `permission_denied` freymi göndərir və renderləməni ötürür, `{% live_render %}` (eager + lazy) isə daxiletməni rədd edir. Xüsusi `get_object` funksiyası olmayan görünüşlər bundan təsirlənmir (no-op). Yeniləmə etməkdən başqa etibarlı alternativ həll yolu yoxdur. Yamaq tətbiq edilənə qədər obyekt miqyaslı görünüşləri HTTP-GET / url_change / live_render yolları vasitəsilə açıq saxlamayın.