CVE-2026-61595

Nome do Software Vulnerável e Versões Afetadas djust versões anteriores a 1.0.7

Description A isolação em djust.tenants era aplicada apenas no caminho HTTP. O inquilino atual era armazenado em threading.local() e definido exclusivamente pelo TenantMiddleware, que é apenas para HTTP. Consequentemente, no caminho live (WebSocket/SSE), a função get current tenant() sempre retornava None durante a montagem e em cada manipulador de eventos. Isso fazia com que o gerenciador QuerySet ciente do inquilino falhasse em modo ABERTO, retornando querysets não filtrados e ignorando o STRICT MODE, o que expunha dados de todos os inquilinos para qualquer usuário com um socket. Além disso, o threading.local era compartilhado entre conexões na thread do executor sync to async.

Recommendations Atualizar para a versão 1.0.7.