CVE-2026-82681
NiskieCVSS 2.0Streszczenie
Podatność w ash_admin pozwala atakującemu kontrolującemu klucz główny rekordu na zmianę celu linków akcji wiersza w AshAdmin. Linki są budowane przez interpolację bez kodowania URL, co umożliwia wstrzyknięcie parametrów i przekierowanie administratora do niepożądanych akcji.
Ocena ryzyka
Administrator może zostać oszukany do wykonania destrukcyjnych akcji (np. usunięcia) lub dostępu do nieautoryzowanych zasobów, co może prowadzić do naruszenia integralności danych.
Rekomendacja
Zaktualizuj ash_admin do wersji 1.3.1 lub nowszej, która zawiera poprawkę używającą URI.encode_query/1 do bezpiecznego budowania linków.
Inne podatności w ash_admin
Zobacz wszystkie- CVE-2026-82722Wysokie
Podatność w ash_admin pozwala każdemu klientowi, który może dotrzeć do panelu administracyjnego LiveView, na wyczerpanie tablicy atomów BEAM i awarię całego węzła. Dwa handlery zdarzeń LiveView tworzą atomy z niezweryfikowanych danych wejściowych klienta, a atomy nie są nigdy usuwane, co prowadzi do awarii.
- CVE-2026-82673Wysokie
Podatność typu Path Traversal w ash_admin umożliwia zapis dowolnych bajtów kontrolowanych przez atakującego w dowolnych ścieżkach na serwerze. Nazwa pliku z przeglądarki nie jest sanityzowana, co pozwala na zapis poza katalogiem tymczasowym.
- CVE-2026-81853Niskie
Podatność w ash_admin pozwala na obejście autoryzacji poprzez kontrolowany klucz użytkownika, zamieniając URL wyszukiwania rekordu w wyrocznię równości dla wrażliwych atrybutów. Dekodowanie klucza głównego nie sprawdza, czy zwrócone pola są prawdziwymi polami klucza głównego, co umożliwia brute-force wrażliwych wartości.
- CVE-2026-81852Niskie
Podatność w ash_admin polega na użyciu twardo zakodowanego, publicznie znanego nonce CSP, co osłabia ochronę Content-Security-Policy. Domyślny nonce jest stałą znaną z repozytorium i nie jest rotowany, co pozwala na wykorzystanie go do uruchamiania nieautoryzowanych skryptów.
- CVE-2026-77850Wysokie
Podatność Stored Cross-site Scripting w ash_admin wykonuje treść rekordów dostarczoną przez atakującego jako skrypt w przeglądarce administratora. Komponenty RelationshipField i ManagedRelationshipSelectField renderują etykiety bez odpowiedniego escapowania.
- CVE-2026-75757Wysokie
Podatność w ash_admin polegająca na poleganiu na ciasteczkach bez walidacji i integralności pozwala atakującemu kontrolującemu subdomenę na przejęcie sesji administratora i zmianę aktora, dzierżawcy lub trybu autoryzacji. Ciasteczka są dopasowywane za pomocą niezakotwiczonego wyrażenia regularnego.
Oryginalny opis (angielski, źródło NVD)
Improper Encoding or Escaping of Output vulnerability in ash-project ash_admin lets an attacker who controls a record's string primary key rewrite the target of AshAdmin's row-action links. The Table, DataTable, and Show components built row-action URLs by raw string interpolation, splicing the primary key (and table, domain, and resource names) into the query string without URL-encoding. Ash resources routinely use user-settable string primary keys (slugs, emails). Because Plug.Conn.Query resolves duplicate parameters last-wins and primary_key is interpolated last, a stored key such as foo&action_type=destroy injects parameters that override the link, so an admin clicking edit is sent to a destroy form or an arbitrary resource; a # truncates the query into a fragment. The fix builds every link with URI.encode_query/1, encoding all interpolated values. This issue affects ash_admin: from 0.3.0-rc.0 before 1.3.1.