CVE-2026-81853
NiskieCVSS 2.3Streszczenie
Podatność w ash_admin pozwala na obejście autoryzacji poprzez kontrolowany klucz użytkownika, zamieniając URL wyszukiwania rekordu w wyrocznię równości dla wrażliwych atrybutów. Dekodowanie klucza głównego nie sprawdza, czy zwrócone pola są prawdziwymi polami klucza głównego, co umożliwia brute-force wrażliwych wartości.
Ocena ryzyka
Atakujący może odgadnąć wrażliwe wartości, takie jak tokeny API lub tokeny resetujące, co może prowadzić do nieautoryzowanego dostępu do kont i danych.
Rekomendacja
Zaktualizuj ash_admin do wersji 1.3.1 lub nowszej, która odrzuca zdekodowane klucze niebędące prawdziwymi polami klucza głównego.
Inne podatności w ash_admin
Zobacz wszystkie- CVE-2026-82722Wysokie
Podatność w ash_admin pozwala każdemu klientowi, który może dotrzeć do panelu administracyjnego LiveView, na wyczerpanie tablicy atomów BEAM i awarię całego węzła. Dwa handlery zdarzeń LiveView tworzą atomy z niezweryfikowanych danych wejściowych klienta, a atomy nie są nigdy usuwane, co prowadzi do awarii.
- CVE-2026-82681Niskie
Podatność w ash_admin pozwala atakującemu kontrolującemu klucz główny rekordu na zmianę celu linków akcji wiersza w AshAdmin. Linki są budowane przez interpolację bez kodowania URL, co umożliwia wstrzyknięcie parametrów i przekierowanie administratora do niepożądanych akcji.
- CVE-2026-82673Wysokie
Podatność typu Path Traversal w ash_admin umożliwia zapis dowolnych bajtów kontrolowanych przez atakującego w dowolnych ścieżkach na serwerze. Nazwa pliku z przeglądarki nie jest sanityzowana, co pozwala na zapis poza katalogiem tymczasowym.
- CVE-2026-81852Niskie
Podatność w ash_admin polega na użyciu twardo zakodowanego, publicznie znanego nonce CSP, co osłabia ochronę Content-Security-Policy. Domyślny nonce jest stałą znaną z repozytorium i nie jest rotowany, co pozwala na wykorzystanie go do uruchamiania nieautoryzowanych skryptów.
- CVE-2026-77850Wysokie
Podatność Stored Cross-site Scripting w ash_admin wykonuje treść rekordów dostarczoną przez atakującego jako skrypt w przeglądarce administratora. Komponenty RelationshipField i ManagedRelationshipSelectField renderują etykiety bez odpowiedniego escapowania.
- CVE-2026-75757Wysokie
Podatność w ash_admin polegająca na poleganiu na ciasteczkach bez walidacji i integralności pozwala atakującemu kontrolującemu subdomenę na przejęcie sesji administratora i zmianę aktora, dzierżawcy lub trybu autoryzacji. Ciasteczka są dopasowywane za pomocą niezakotwiczonego wyrażenia regularnego.
Oryginalny opis (angielski, źródło NVD)
Authorization Bypass Through User-Controlled Key vulnerability in ash-project ash_admin turns a record-lookup URL into an equality oracle over sensitive attributes. AshAdmin.Helpers.decode_primary_key/2 decodes the composite-primary-key form (Base64 plus ETF) and returns the decoded map verbatim as the lookup filter, without checking that its keys are the resource's primary-key fields. The deserialization guards bound size, block new atoms and funs, and reject nested expressions, but none restricts which fields come back, and :safe still allows any already-interned attribute name. An attacker can therefore encode %{api_token: "guess"} and have it spliced into the lookup filter, brute-forcing a sensitive attribute value (API token, reset token) one equality guess at a time; Map.to_list/1 also accepts structs, yielding a bogus __struct__ key. The fix rejects any decoded key that is not a real primary-key field. This issue affects ash_admin: from 0.1.0 before 1.3.1.