djust has broken object-level access control (IDOR)

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (GitHub_M). Не зависят от анализа CPE в NVD и обычно опережают его.

• djust-org djust

  • < 1.0.7затронута

Затронутые пакеты

Данные OSV и GitHub Advisory: экосистема, пакет и диапазон. Сопоставление SBOM использует эту таблицу.

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2026-61594djust has an authorization bypass on the WebSocket/SSE mount path
  36Наблюдать
• CVE-2026-61599djust has an unauthenticated arbitrary module import via the WebSocket/SSE view-mount path
  35Наблюдать
• CVE-2026-61591djust: Unsigned client state snapshot is restored as trusted view state (privilege escalation / state injection)
  32Наблюдать
• CVE-2026-61593djust has Cross-Site Request Forgery on the Server-Sent-Events transport: a cross-origin page can drive a victim-authenticated SSE session
  32Наблюдать
• CVE-2026-55571djust authentication bypass: a login_required / on_mount LiveView mount redirect does not close the WebSocket, allowing an unauthenticated client to dispatch ev
  32Наблюдать
• CVE-2026-61595djust: Multi-tenant isolation fails open on the WebSocket/SSE path, disclosing other tenants' data
  30Наблюдать

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Эндпоинт получает запись по идентификатору из запроса, но не проверяет, принадлежит ли она запрашивающему пользователю.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1const invoice = await Invoice.findById(req.params.id);2res.json(invoice);

1const invoice = await Invoice.findOne({2  id: req.params.id,3  ownerId: req.user.id,4});5if (!invoice) return res.sendStatus(404);6res.json(invoice);

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.

У MITRE нет сопоставления CAPEC/ATT&CK для этого CWE.