CVE-2026-61597
Təsvir
djust, Django üçün Rust ilə gücləndirilmiş performanslı Phoenix LiveView üslublu reaktiv server tərəfli renderləmə təmin edir. Versiya 1.0.7-yə qədər bir çox djust daxili komponent şablon teqləri (`djust.components.templatetags.*`), tərtibatçı və ya istifadəçi tərəfindən təqdim edilən URL-i `href` / `action` atributuna yerləşdirir və onu `conditional_escape` ilə HTML-eskap etsə də, URL sxemini heç vaxt yoxlamır. HTML eskap atributdan çıxışı önləyir, lakin `javascript:` URI-ni (hansı ki, eskap ediləcək simvollar tələb etmir) zərərsizləşdirmir, buna görə də `javascript:alert(document.cookie)` kimi URL dəyəri olduğu kimi `<a href="javascript:alert(document.cookie)">` şəklində yerləşir və kliklədikdə qurbanın sessiyasında icra olunur. Versiya 1.0.7-də düzəliş mövcuddur. Müvəqqəti həll yolu kimi, istifadəçi tərəfindən idarə olunan URL-ləri təsirə məruz qalan daxili komponent teqlərinə ötürməyin; onları komponent arqumentlərinə bağlamazdan əvvəl tətbiq kodunda URL sxemlərini öncədən yoxlayın.
Necə düzəltmək olar
- djust1.0.7 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| djustPyPI | v < 1.0.7 | 1.0.7 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.