CVE-2026-77850
WysokieCVSS 8.4Streszczenie
Podatność Stored Cross-site Scripting w ash_admin wykonuje treść rekordów dostarczoną przez atakującego jako skrypt w przeglądarce administratora. Komponenty RelationshipField i ManagedRelationshipSelectField renderują etykiety bez odpowiedniego escapowania.
Ocena ryzyka
Atakujący może przejąć sesję administratora i uzyskać pełne uprawnienia w panelu administracyjnym, co może prowadzić do kradzieży danych lub modyfikacji systemu.
Rekomendacja
Zaleca się aktualizację ash_admin do wersji 1.3.1 lub nowszej, która zawiera poprawkę escapującą etykiety przed wstawieniem znaczników.
Inne podatności w ash_admin
Zobacz wszystkie- CVE-2026-82722Wysokie
Podatność w ash_admin pozwala każdemu klientowi, który może dotrzeć do panelu administracyjnego LiveView, na wyczerpanie tablicy atomów BEAM i awarię całego węzła. Dwa handlery zdarzeń LiveView tworzą atomy z niezweryfikowanych danych wejściowych klienta, a atomy nie są nigdy usuwane, co prowadzi do awarii.
- CVE-2026-82681Niskie
Podatność w ash_admin pozwala atakującemu kontrolującemu klucz główny rekordu na zmianę celu linków akcji wiersza w AshAdmin. Linki są budowane przez interpolację bez kodowania URL, co umożliwia wstrzyknięcie parametrów i przekierowanie administratora do niepożądanych akcji.
- CVE-2026-82673Wysokie
Podatność typu Path Traversal w ash_admin umożliwia zapis dowolnych bajtów kontrolowanych przez atakującego w dowolnych ścieżkach na serwerze. Nazwa pliku z przeglądarki nie jest sanityzowana, co pozwala na zapis poza katalogiem tymczasowym.
- CVE-2026-81853Niskie
Podatność w ash_admin pozwala na obejście autoryzacji poprzez kontrolowany klucz użytkownika, zamieniając URL wyszukiwania rekordu w wyrocznię równości dla wrażliwych atrybutów. Dekodowanie klucza głównego nie sprawdza, czy zwrócone pola są prawdziwymi polami klucza głównego, co umożliwia brute-force wrażliwych wartości.
- CVE-2026-81852Niskie
Podatność w ash_admin polega na użyciu twardo zakodowanego, publicznie znanego nonce CSP, co osłabia ochronę Content-Security-Policy. Domyślny nonce jest stałą znaną z repozytorium i nie jest rotowany, co pozwala na wykorzystanie go do uruchamiania nieautoryzowanych skryptów.
- CVE-2026-75757Wysokie
Podatność w ash_admin polegająca na poleganiu na ciasteczkach bez walidacji i integralności pozwala atakującemu kontrolującemu subdomenę na przejęcie sesji administratora i zmianę aktora, dzierżawcy lub trybu autoryzacji. Ciasteczka są dopasowywane za pomocą niezakotwiczonego wyrażenia regularnego.
Oryginalny opis (angielski, źródło NVD)
Stored Cross-site Scripting vulnerability in ash-project ash_admin executes attacker-supplied record content as script in an administrator's browser. The relationship typeahead components AshAdmin.Components.Resource.RelationshipField and AshAdmin.Components.Resource.ManagedRelationshipSelectField highlight the matched search term by wrapping it in <b> tags and rendering the whole string with Phoenix.HTML.raw/1. The highlighted value is the destination record's label_field, ordinary database content that is often written by lower-privileged users. Because raw/1 disables output escaping for the entire string, a stored label such as <img src=x onerror=...> runs as JavaScript in the admin's session as soon as a matching record appears in the dropdown, giving the attacker the admin's privileges over everything AshAdmin exposes. The fix HTML-escapes the label before inserting the highlight markup. This issue affects ash_admin: from 0.13.0 before 1.3.1.