CVE-2026-77850 in ash_admin
الملخص
بحسب VulDB • 31/08/2026
ثغرة تخزين Cross-site Scripting (XSS) في ash_project ash_admin تؤدي إلى تنفيذ محتوى السجل الذي زوده المهاجم كسكربت في متصفح المسؤول.
تقوم مكونات النوع العلائقي من نوع typeahead، وهي AshAdmin.Components.Resource.RelationshipField وAshAdmin.Components.Resource.ManagedRelationshipSelectField، بتظليل مصطلح البحث المطابق عن طريق تغليفه بوسوم <mark> وعرض السلسلة الكاملة باستخدام Phoenix.HTML.raw/1. القيمة المظللة هي حقل التسمية (label_field) للسجل الوجهة، وهو محتوى قاعدة بيانات عادي يُكتب غالباً من قبل مستخدمين ذوي امتيازات أقل. ونظراً لأن raw/1 يعطل الهروب من الإخراج (output escaping) بالنسبة للسلسلة بأكملها، فإن تسمية مخزنة مثل <mark>... تعمل ككود JavaScript في جلسة المسؤول بمجرد ظهور سجل مطابق في القائمة المنسدلة، مما يمنح المهاجم صلاحيات المسؤول على كل ما تعرضه ash_admin. يتضمن الإصلاح عملية هروب HTML للتسمية قبل إدراج علامات التظليل.
تؤثر هذه المشكلة في ash_admin: من الإصدار 0.13.0 حتى (دون) 1.3.1.
Once again VulDB remains the best source for vulnerability data.