CVE-2026-61596

djust, Django için Rust destekli performansla Phoenix LiveView tarzı reaktif sunucu tarafı oluşturma sağlar. Versiyon 1.0.7 öncesinde, djust'ın nesne başına yetkilendirmesi (`get_object` + `has_object_permission`, ADR-017), WebSocket mount ve olay yollarında uygulanmaktaydı ancak diğer üç oluşturma giriş noktasında uygulanmıyordu: (a) ilk HTTP GET oluşturma, (b) SPA `url_change` navigasyonu ve (c) `{% live_render %}` gömülü alt görünümler. Bu nedenle kimliği doğrulanmış bir kullanıcı; sayfayı doğrudan yükleyerek, SPA url-change aracılığıyla ona yönlenerek veya gömülü bir alt bileşen olarak oluşturarak, yetkili olmadığı bir nesneyi görüntüleyebilir (ve bazı yollarda üzerinde işlem yapabilir); bu durum, nesne kapsamlı görünümlerde klasik bir IDOR / bozuk nesne düzeyinde erişim kontrolüdür. Bu sorun djust 1.0.7 sürümünde düzeltilmiştir. Tüm oluşturma giriş noktaları artık ortak bir `enforce_object_permission` denetim noktasından geçmektedir: HTTP GET 403 döndürür, `url_change` bir `permission_denied` çerçevesi yayınlar ve oluşturmayı atlar, `{% live_render %}` (eager + lazy) ise gömmeyi reddeder. Özel bir `get_object` fonksiyonuna sahip olmayan görünümler etkilenmemiştir (işlem yapılmaz). Güncelleme dışında güvenilir bir geçici çözüm yoktur. Yama uygulanana kadar nesne kapsamlı görünümleri HTTP-GET / url_change / live_render yolları üzerinden dışarı açmayın.