p PatchFirst

CVE-2026-61589

CVE-2026-61589 · djust: WebSocket/runtime reconstructed request omits the client Host, causing host/subdomain TenantResolvers to misresolve the tenant on the live path

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

djust provides Phoenix LiveView-style reactive server-side rendering for Django with Rust-powered performance. Prior to version 1.0.7, the WebSocket `handle_mount` and `ViewRuntime._build_request` rebuild an `HttpRequest` via `RequestFactory().get(...)` with no `HTTP_HOST`, so `request.get_host()` defaulted to `"testserver"` on the live path. Host/subdomain/domain `TenantResolver`s then misresolved the tenant — `None` on the live path while the HTTP path resolved correctly. With `STRICT_MODE=False` the tenant-scoped managers returned unscoped rows (cross-tenant disclosure); with the default they returned an empty queryset (broken tenancy). This is fixed in djust 1.0.7. The handshake Host is extracted from the ASGI scope, validated against `ALLOWED_HOSTS` (the same logic as the CSWSH Origin gate, parsed with Django's `split_domain_port` so malformed Hosts are rejected at the boundary), and propagated — with the TLS scheme — into the reconstructed request, so live-path tenant resolution matches HTTP exactly. There is no known workaround on the live path short of upgrading. Users are most exposed when combined with `STRICT_MODE=False`.

CVSS 6.3 · Средний · EPSS 0,2% · Есть исправление

Опубликовано
Обновлено

Стек: python

Затронутые продукты и версии

  • djust

    Версии
    • < 1.0.7: Затронуто

    Нет опубликованного исправления

  • djust PyPI

    Версии
    • 0.1.0
    • 0.1.2
    • 0.1.3
    • 0.1.4
    • 0.1.5
    • 0.1.6
    • 0.1.7
    • 0.1.8
    • 0.1.9
    • 0.2.0
    • 0.2.1
    • 0.2.2
    • 0.3.0
    • 0.3.1
    • 0.3.2
    • 0.3.4
    • 0.3.5
    • 0.3.6
    • 0.3.7
    • 0.3.8
    • 0.4.0
    • 0.4.1
    • 0.4.2
    • 0.4.3
    • 0.4.4
    • 0.9.0
    • 0.9.1
    • 0.9.2
    • 0.9.4
    • 0.9.5
    • 0.9.6
    • 0.9.7
    • 1.0.0
    • 1.0.0rc1
    • 1.0.0rc10
    • 1.0.0rc11
    • 1.0.0rc12
    • 1.0.0rc13
    • 1.0.0rc14
    • 1.0.0rc15
    • 1.0.0rc16
    • 1.0.0rc17
    • 1.0.0rc18
    • 1.0.0rc2
    • 1.0.0rc3
    • 1.0.0rc4
    • 1.0.0rc6
    • 1.0.0rc7
    • 1.0.0rc8
    • 1.0.0rc9
    • 1.0.1
    • 1.0.1rc1
    • 1.0.2
    • 1.0.2rc1
    • 1.0.2rc2
    • 1.0.2rc3
    • 1.0.3
    • 1.0.3rc1
    • 1.0.3rc2
    • 1.0.4
    • 1.0.4rc1
    • 1.0.5
    • 1.0.5rc1
    • 1.0.5rc2
    • 1.0.5rc3
    • 1.0.5rc4
    • 1.0.5rc5
    • 1.0.6
    Затронутые диапазоны версий
    • ECOSYSTEM: < 1.0.7

    Обновитесь до 1.0.7

  • djust PyPI

    Версии
    • 0.1.0
    • 0.1.2
    • 0.1.3
    • 0.1.4
    • 0.1.5
    • 0.1.6
    • 0.1.7
    • 0.1.8
    • 0.1.9
    • 0.2.0
    • 0.2.1
    • 0.2.2
    • 0.3.0
    • 0.3.1
    • 0.3.2
    • 0.3.4
    • 0.3.5
    • 0.3.6
    • 0.3.7
    • 0.3.8
    • 0.4.0
    • 0.4.1
    • 0.4.2
    • 0.4.3
    • 0.4.4
    • 0.9.0
    • 0.9.1
    • 0.9.2
    • 0.9.4
    • 0.9.5
    • 0.9.6
    • 0.9.7
    • 1.0.0
    • 1.0.0rc11
    • 1.0.1
    • 1.0.2
    • 1.0.3
    • 1.0.4
    • 1.0.5
    • 1.0.6
    Затронутые диапазоны версий
    • ECOSYSTEM: < 1.0.7

    Обновитесь до 1.0.7

Первоисточники

Проверьте свой сервер →