CVE-2026-61594

djust fornisce rendering reattivo lato server in stile Phoenix LiveView per Django con prestazioni potenziate da Rust. Prima della versione 1.0.7, il trasporto live (WebSocket) autorizzava un mount tramite `check_view_auth`, e non tramite la catena `View.dispatch()` di Django. Di conseguenza, l'autorizzazione standard di Django — `LoginRequiredMixin`, `PermissionRequiredMixin`, `UserPassesTestMixin`, `@method_decorator(login_required, name="dispatch")`, e i controlli personalizzati `dispatch()` — e il gate di staff dell'estensione admin di djust (applicato solo nel wrapper HTTP `as_view`) venivano applicati solo sulla richiesta HTTP iniziale GET, ma venivano silenziosamente bypassati tramite WebSocket, dove fluiscono tutti gli eventi e lo stato. Un client anonimo o con privilegi insufficienti poteva aprire un WebSocket e montare una vista — inclusi elenchi, creazioni, modifiche e cancellazioni admin — e dispatchare i relativi handler. Questo problema è stato risolto in djust 1.0.7. `check_view_auth` ora rispetta la famiglia di `AccessMixin` di Django su ogni trasporto; un nuovo controllo di sistema S004 fallisce in modo evidente all’avvio se le pattern di autorizzazione non possono essere riprodotte in modo sicuro in runtime (forme decorate o override di `dispatch`); e la classe base dell’admin mixin dichiara `login_required = True` più un gate `check_permissions` attivo per lo staff. Come workaround, si consiglia di usare le view con gate tramite gli attributi di djust `login_required` / `permission_required` / `check_permissions` (che vengono rispettati su tutti i trasporti) invece di mixin/decoratori solo HTTP.