CVE-2026-61588
Publiée le 2026-09-16 · Dernière modification le 2026-09-24
Les applications Django utilisant la bibliothèque `djust` avant la version 1.0.7 sont concernées. Un attaquant disposant d'un compte utilisateur standard peut consulter ses propres données sensibles ou celles d'autres utilisateurs, telles que les hachages de mots de passe et les indicateurs d'administrateur, simplement en inspectant le trafic réseau envoyé à son navigateur. Cela ne nécessite qu'un accès réseau basique et un identifiant valide, sans aucune autre interaction de la part de l'utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
djust provides Phoenix LiveView-style reactive server-side rendering for Django with Rust-powered performance. Prior to version 1.0.7, when a Django `Model` instance is assigned to a public view attribute, djust serialized it to the client with no sensitive-field denylist — sending fields such as `password` (the hash), privilege flags (e.g. `is_staff` / `is_superuser`), tokens, and other PII to the browser. Because exposing model objects to templates is a normal djust pattern, this could leak credentials/PII without the developer realizing the full object crossed the wire. This is fixed in djust 1.0.7. Model serialization applies a secure-by-default sensitive-field denylist (password/hash/token/secret-style fields and known privilege flags are withheld) with an identity-subset fallback. As a workaround, keep `Model` instances on `_private` attributes and expose only the specific fields needed, until patched.