CVE-2026-61597

djust, Django için Rust destekli performansla Phoenix LiveView tarzı reaktif sunucu tarafı oluşturma sağlar. Versiyon 1.0.7 öncesinde, birçok djust yerleşik bileşen şablon etiketi (`djust.components.templatetags.*`), geliştirici veya kullanıcı tarafından sağlanan bir URL'yi `conditional_escape` ile HTML kaçış karakterlerine tabi tutarak ancak URL şemasını hiçbir zaman doğrulamadan bir `href` / `action` özniteliğine işler. HTML kaçışı, öznitelikten çıkılmasını önler ancak `javascript:` URI'sini (kaçırılabilir karakterlere ihtiyaç duymaz) etkisiz hale getirmez; bu nedenle `javascript:alert(document.cookie)` şeklindeki bir URL değeri aynen `<a href="javascript:alert(document.cookie)">` şeklinde yerleşir ve tıklandığında mağdurun oturumunda çalıştırılır. Versiyon 1.0.7 bir düzeltme içerir. Geçici çözüm olarak, etkilenen yerleşik bileşen etiketlerine kullanıcı tarafından kontrol edilebilen URL'ler geçirmeyin; URL şemalarını bileşen bağımsız değişkenlerine bağlamadan önce uygulama kodu içinde önceden doğrulayın.