CVE-2026-61592
Açıklama
djust, Django için Rust destekli performansla Phoenix LiveView tarzı reaktif sunucu tarafı oluşturma sağlar. Versiyon 1.0.7 öncesinde, SSE oturumları yalnızca istemci tarafından seçilen bir `session_id` ile anahtarlanıyordu ve kimliği doğrulanmış kullanıcıya herhangi bir bağlama yapılmamıştı; bu kontrol WebSocket taşımasında mevcutken SSE üzerinde kaldırılmıştı. Bir `session_id` değerini öğrenen bir saldırgan (veya sızdıran bir kurban), mesaj uç noktasına bağlanabilir ve kurbanın kimliği ve durumuyla çalışan olay işleyicilerini tetikleyebilir. Bu durum djust 1.0.7 sürümünde düzeltilmiştir. Her SSE oturumu oluşturulurken sahibi olan asil kişiye (principal) bağlanır ve farklı asil kişiler arasındaki erişim reddedilir; ayrıca SSE oturum oluşturma işlemi asil kişi başına sınırlandırılmıştır. Geçici çözüm olarak SSE taşımasını devre dışı bırakın.
Nasıl düzeltilir
- djust1.0.7 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| djustPyPI | v < 1.0.7 | 1.0.7 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.