CVE-2026-61595

djust zapewnia reaktywne renderowanie po stronie serwera w stylu Phoenix LiveView dla Django z wydajnością opartą na Rust. Przed wersją 1.0.7 izolacja `djust.tenants` była wymuszana tylko na ścieżce HTTP. Bieżący dzierżawca był przechowywany w `threading.local()` i ustawiany wyłącznie przez `TenantMiddleware' obsługujący tylko HTTP, więc na aktywnej ścieżce (WebSocket/SSE) `get_current_tenant()` zawsze miał wartość `None` podczas montowania i każdej procedury obsługi zdarzeń — a świadomy dzierżawy menedżer `QuerySet` nie powiódł się OTWARTY (zwrócił niefiltrowany zestaw zapytań, ignorując `STRICT_MODE`), ujawniając wiersze każdego dzierżawcy temu, kto trzymał gniazdo. Plik `threading.local` został dodatkowo udostępniony pomiędzy połączeniami w wątku executora `sync_to_async`. Ten problem został rozwiązany w wersji djust 1.0.7. Magazyn dzierżawy został przeniesiony do `contextvars.ContextVar` (na zadanie asynchroniczne); rozwiązany najemca jest związany z instalacją WS/SSE i każdą wysyłką; obaj menedżerowie jednokrotnie ograniczają podstawowy zestaw zapytań i kończą się niepowodzeniem ZAMKNIĘCIE („.none()” w domyślnym trybie „STRICT_MODE”); a kontrola systemu S006 ostrzega, gdy `STRICT_MODE=False`. Na aktywnej ścieżce nie są dostępne żadne znane obejścia.