- Son 7 gün
- CWE-22
CVE-2026-113731
djust MCP aracı find_handlers_for_template üzerinde keyfi mutlak yol dosya okuma açığı
- Yayımlandı
- Güncellendi
- 28 Eki 2026
- Açık yaşı
- 7 gün
- Kaydı açan
- GitHub_M
ÖzetTürkçe
djust, Django için Phoenix LiveView tarzı reaktif sunucu tarafı render sağlayan ve Rust destekli performans sunan bir çatıdır. 0.9.0 sürümünden 1.0.10, 1.1.7, 1.2.4 ve 1.3.0rc8 sürümlerine kadar olan sürümlerde, python/djust/mcp/server.py içindeki find_handlers_for_template MCP aracı, var olan mutlak bir template_path değerini kabul eder ve çözümlenen yolu proje veya yapılandırılmış şablon dizinleriyle sınırlamadan okur. Yerel bir MCP istemcisi, aracı bir dosyanın var olup olmadığını ve okunabilir olup olmadığını belirleyen bir oracle olarak kullanabilir ve djust sürecinin okuyabildiği dosyalardan, aracın dj-click, dj-submit, dj-change, dj-input, dj-keydown veya dj-keyup öznitelik desenine uyan alt dizgeleri elde edebilir. Bakımcının değerlendirmesine göre MCP sunucusu yerel stdio üzerinden aynı işletim sistemi kullanıcısıyla iletişim kurar, ağ dinleyicisi yoktur ve araç ham dosya içeriklerini rastgele döndürmez. Bu sorun 1.0.10, 1.1.7, 1.2.4 ve 1.3.0rc8 sürümlerinde giderilmiştir.
Kaynaktaki açıklama (İngilizce)
djust provides Phoenix LiveView-style reactive server-side rendering for Django with Rust-powered performance. From 0.9.0 until 1.0.10, 1.1.7, 1.2.4, and 1.3.0rc8, the find_handlers_for_template MCP tool in python/djust/mcp/server.py accepts an existing absolute template_path and reads it without restricting the resolved path to the project or configured template directories. A local MCP client can use the tool as a file existence and readability oracle and can obtain substrings that match the tool's dj-click, dj-submit, dj-change, dj-input, dj-keydown, or dj-keyup attribute pattern from files readable by the djust process. The maintainer assessment states that the MCP server communicates over local stdio as the same operating-system user and has no network listener, and the tool does not return arbitrary raw file contents. This issue is fixed in versions 1.0.10, 1.1.7, 1.2.4, and 1.3.0rc8.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| djust-org djust | Sürüm belirtilmemiş | – |
Kaynaklar11 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/…/djust/security/advisories/GHSA-r57g-mc79-8hj2 Diğer
- github.com/…ommit/45a5045793ebe7c9c2df86b0ad34275af6822619 Diğer
- github.com/…ommit/744bccf699c65c815d9379b36236a7c5592a339b Diğer
- github.com/…ommit/85eed7caaf620bdb08986f2f3bb79432c0d3d715 Diğer
- github.com/…ommit/a62caf6b4ef540ad688d4dfdfa407ff914c78728 Diğer
- github.com/djust-org/djust/releases/tag/v1.0.10 Diğer
- github.com/djust-org/djust/releases/tag/v1.1.7 Diğer
- github.com/djust-org/djust/releases/tag/v1.2.4 Diğer
- github.com/djust-org/djust/releases/tag/v1.3.0rc8 Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.