CVE-2026-61591

djust, Django için Rust destekli performansla Phoenix LiveView tarzı reaktif sunucu tarafı oluşturma sağlar. Versiyon 1.0.7 öncesinde, durum anlık görüntülerine (state snapshots) dahil olan görünümler için istemci sayfasına gömülen `state_json` anlık görüntüsü, yeniden bağlanma sırasında herhangi bir bütünlük kontrolü yapılmaksızın güvenilir görünüm durumu olarak geri yükleniyordu. Bir istemci, sayfasındaki imzalanmamış `state_json` verisini düzenleyebilir ve bunu yeniden bağlanma bağlama çerçevesinde (reconnect mount frame) geri göndererek rastgele görünüm öznitelikleri enjekte edebilirdi — örneğin `is_admin` değerini `True` yapmak veya `account_id` / `balance` değerlerini değiştirmek — bu da yetki yükseltmeye veya genel görünüm özniteliklerinde tutulan iş mantığı durumunun değiştirilmesine (normal djust deseni) yol açabilirdi. Bu sorun djust 1.0.7 sürümünde düzeltilmiştir. Durum anlık görüntüleri artık imzalanmaktadır; imzasız veya sahte anlık görüntüler, geri navigasyon geri yükleme yolunda reddedilmektedir. Geçici çözüm olarak, durum anlık görüntülerini etkinleştirmeyin; yetkilendirme/sahiplik durumunu genel görünüm özniteliklerinde tutmayın.