CVE-2026-61589

Nome do Software Vulnerável e Versões Afetadas djust versões anteriores a 1.0.7

Description A função WebSocket handle mount e o método ViewRuntime. build request reconstroem um HttpRequest usando RequestFactory().get(...) sem incluir o HTTP HOST. Isso faz com que o request.get host() assuma o valor padrão "testserver" no caminho ativo, levando os TenantResolvers baseados em host, subdomínio ou domínio a resolverem incorretamente o inquilino como None. Quando o STRICT MODE está definido como False, os gerenciadores com escopo de inquilino podem retornar linhas sem escopo, resultando em divulgação entre inquilinos (cross-tenant disclosure). Por padrão, este problema leva a uma falha na multi-tenancy, onde um queryset vazio é retornado.

Recommendations Atualize o djust para a versão 1.0.7.