CVE-2026-61594

djust zapewnia reaktywne renderowanie po stronie serwera w stylu Phoenix LiveView dla Django z wydajnością opartą na Rust. Przed wersją 1.0.7 aktywny transport (WebSocket) autoryzuje montowanie poprzez `check_view_auth`, a nie łańcuch `View.dispatch()` Django. W rezultacie standardowa autoryzacja Django — `LoginRequiredMixin`, `PermissionRequiredMixin`, `UserPassesTestMixin`, `@method_decorator(login_required, name="dispatch")` i niestandardowe zabezpieczenia `dispatch()` - oraz bramka personelu rozszerzenia djust admin (stosowana tylko w opakowaniu HTTP `as_view`) zostały wymuszane na początkowym HTTP GET, ale dyskretnie omijane przez protokół WebSocket, gdzie przepływają wszystkie zdarzenia i stany. Anonimowy lub nieuprzywilejowany klient może otworzyć protokół WebSocket i zamontować taki widok — w tym listę administratorów/utworzyć/zmienić/usunąć — i wysłać jego procedury obsługi. Zostało to naprawione w wersji 1.0.7. `check_view_auth` honoruje teraz rodzinę `AccessMixin` Django w każdym transporcie; nowa kontrola systemowa S004 kończy się głośnym niepowodzeniem przy uruchomieniu według wzorców uwierzytelniania, którego środowisko wykonawcze nie może bezpiecznie odtworzyć (formularze dekoratora/przesłoniętego wysłania); a miks podstawowy administratora deklaruje `login_required = True` + bramkę `check_permissions` dla aktywnego personelu. Jako obejście, bramuj widoki przy użyciu atrybutów `login_required` / `permission_required` / `check_permissions` djust (honorowanych we wszystkich transportach), a nie miksów/dekoratorów dostępnych tylko przez HTTP.