CVE-2026-61599

Nome do Software Vulnerável e Versões Afetadas djust versões anteriores a 1.0.7

Descrição o djust permite que um cliente WebSocket ou SSE não autenticado acione a importação e a execução do código de nível superior de qualquer módulo Python importável. Isso ocorre porque o transporte live resolve o LiveView a ser montado usando um caminho pontilhado fornecido pelo cliente através da função import () antes de realizar a autenticação ou verificar se o objeto é uma subclasse de LiveView. A lista de permissões LIVEVIEW ALLOWED MODULES é aberta por padrão (fail-open) e usa a correspondência startswith flexível, permitindo que um invasor envie um frame mount, live redirect mount ou url change com uma variável view maliciosa. Isso pode levar à execução no servidor de efeitos colaterais arbitrários no momento da importação, negação de serviço por meio de bombas de importação e enumeração de módulos. O problema afeta a função handle mount em python/djust/websocket.py, as funções ViewRuntime.dispatch mount e instantiate view em python/djust/runtime.py, e a montagem SSE em python/djust/sse.py.

Recomendações Atualize o djust para a versão 1.0.7. Como mitigação temporária, configure LIVEVIEW ALLOWED MODULES para uma lista restrita de módulos que contenham classes LiveView montáveis.