CVE-2026-61593

djust zapewnia reaktywne renderowanie po stronie serwera w stylu Phoenix LiveView dla Django z wydajnością opartą na Rust. Przed wersją 1.0.7 punkty końcowe POST klienta → serwera SSE to `@csrf_exempt`, a punkt końcowy strumienia SSE GET nie miał sprawdzania pochodzenia, więc strona między źródłami mogła prowadzić sesję SSE uwierzytelnioną za pomocą plików cookie ofiary: zmuś przeglądarkę ofiary do POBRANIA adresu URL strumienia (który tworzy i montuje LiveView jako ofiara) i POST do punktu końcowego wiadomości za pomocą `poświadczeń: dołącz` aby zwolnić programy obsługi zdarzeń zmieniające stan jako ofiarę. Adres URL „session_id” jest wybierany przez klienta (sprawdzany tylko dla *formatu* UUID), więc nie jest tokenem CSRF, a treść JSON wysłana jako „tekst/zwykły” jest prostym żądaniem CORS bez inspekcji wstępnej. Problem został rozwiązany w wersji 1.0.7. Wszystkie trzy punkty końcowe SSE sprawdzają poprawność żądania „Origin” względem „ALLOWED_HOSTS” (odzwierciedlając obronę WebSocket CSWSH) i odrzucają żądania cross-origin za pomocą 403; punkty końcowe POST dodatkowo wymagają `Content-Type: application/json` (w przeciwnym razie 415), co zamyka obejście prostego żądania `text/plain`. Aby obejść ten problem, wyłącz transport SSE lub ustaw go na serwerze proxy, który wymusza listę dozwolonych w Origin.