CVE-2026-75757
WysokieCVSS 8.3Streszczenie
Podatność w ash_admin polegająca na poleganiu na ciasteczkach bez walidacji i integralności pozwala atakującemu kontrolującemu subdomenę na przejęcie sesji administratora i zmianę aktora, dzierżawcy lub trybu autoryzacji. Ciasteczka są dopasowywane za pomocą niezakotwiczonego wyrażenia regularnego.
Ocena ryzyka
Atakujący może przejąć sesję administratora i wykonywać operacje w jego imieniu, co może prowadzić do nieautoryzowanego dostępu do danych lub modyfikacji systemu.
Rekomendacja
Zaleca się aktualizację ash_admin do wersji 1.3.1 lub nowszej, która zawiera poprawkę dopasowującą nazwy ciasteczek dokładnie.
Inne podatności w ash_admin
Zobacz wszystkie- CVE-2026-82722Wysokie
Podatność w ash_admin pozwala każdemu klientowi, który może dotrzeć do panelu administracyjnego LiveView, na wyczerpanie tablicy atomów BEAM i awarię całego węzła. Dwa handlery zdarzeń LiveView tworzą atomy z niezweryfikowanych danych wejściowych klienta, a atomy nie są nigdy usuwane, co prowadzi do awarii.
- CVE-2026-82681Niskie
Podatność w ash_admin pozwala atakującemu kontrolującemu klucz główny rekordu na zmianę celu linków akcji wiersza w AshAdmin. Linki są budowane przez interpolację bez kodowania URL, co umożliwia wstrzyknięcie parametrów i przekierowanie administratora do niepożądanych akcji.
- CVE-2026-82673Wysokie
Podatność typu Path Traversal w ash_admin umożliwia zapis dowolnych bajtów kontrolowanych przez atakującego w dowolnych ścieżkach na serwerze. Nazwa pliku z przeglądarki nie jest sanityzowana, co pozwala na zapis poza katalogiem tymczasowym.
- CVE-2026-81853Niskie
Podatność w ash_admin pozwala na obejście autoryzacji poprzez kontrolowany klucz użytkownika, zamieniając URL wyszukiwania rekordu w wyrocznię równości dla wrażliwych atrybutów. Dekodowanie klucza głównego nie sprawdza, czy zwrócone pola są prawdziwymi polami klucza głównego, co umożliwia brute-force wrażliwych wartości.
- CVE-2026-81852Niskie
Podatność w ash_admin polega na użyciu twardo zakodowanego, publicznie znanego nonce CSP, co osłabia ochronę Content-Security-Policy. Domyślny nonce jest stałą znaną z repozytorium i nie jest rotowany, co pozwala na wykorzystanie go do uruchamiania nieautoryzowanych skryptów.
- CVE-2026-77850Wysokie
Podatność Stored Cross-site Scripting w ash_admin wykonuje treść rekordów dostarczoną przez atakującego jako skrypt w przeglądarce administratora. Komponenty RelationshipField i ManagedRelationshipSelectField renderują etykiety bez odpowiedniego escapowania.
Oryginalny opis (angielski, źródło NVD)
Reliance on Cookies without Validation and Integrity Checking vulnerability in ash-project ash_admin lets an attacker who controls a sibling subdomain rebind an admin's session to a different actor, tenant, or authorization mode. AshAdmin's client JavaScript read its state cookies (tenant, actor_resource, actor_primary_key, actor_action, actor_domain, actor_authorizing, actor_paused) by matching the cookie name with an unanchored regular expression (new RegExp(name + "=([^;]+)")) against the whole document.cookie. Any cookie whose name merely ends with the requested name therefore matches, and whichever is serialized first wins. Because cookies are shared across a registrable domain, a compromised sibling subdomain can set a shadowing cookie (for example xactor_authorizing) with Domain=.example.com that flows unvalidated into the admin's LiveSocket connect params. The fix matches cookie names by exact equality. This issue affects ash_admin: from 0.9.1 before 1.3.1.