CVE-2026-61589

djust zapewnia reaktywne renderowanie po stronie serwera w stylu Phoenix LiveView dla Django z wydajnością opartą na Rust. Przed wersją 1.0.7 funkcje `handle_mount` i `ViewRuntime._build_request` protokołu WebSocket przebudowują `HttpRequest` za pomocą `RequestFactory().get(...)` bez `HTTP_HOST`, więc `request.get_host()` domyślnie ustawiało ``testserver'` na aktywnej ścieżce. Host/subdomena/domena „TenantResolver” następnie błędnie rozpoznał dzierżawcę — „Brak” na aktywnej ścieżce, podczas gdy ścieżka HTTP została rozpoznana poprawnie. W przypadku opcji „STRICT_MODE=False” menedżerowie o zakresie dzierżawy zwrócili wiersze bez zakresu (ujawnianie informacji między dzierżawcami); domyślnie zwrócili pusty zestaw zapytań (zepsuta dzierżawa). Zostało to naprawione w wersji 1.0.7. Host uzgadniania jest wyodrębniany z zakresu ASGI, sprawdzany względem „ALLOWED_HOSTS” (ta sama logika co brama CSWSH Origin, analizowana za pomocą „portu_podzielonej_domeny” Django, tak aby zniekształcone hosty były odrzucane na granicy) i propagowane — za pomocą schematu TLS — do zrekonstruowanego żądania, więc rozpoznawanie dzierżawy ścieżki na żywo dokładnie odpowiada HTTP. Nie jest znane żadne obejście ścieżki na żywo poza aktualizacją. Użytkownicy są najbardziej narażeni w połączeniu z `STRICT_MODE=False`.