CVE-2026-82673 in ash_admin
الملخص
بحسب VulDB • 31/08/2026
تتيح ثغرة "القيود غير الملائمة لمسار الدليل المقيد" (Path Traversal) في ash-project ash_admin لل مهاجم كتابة بيانات يتحكم فيها إلى مسارات عشوائية على الخادم. تقوم دالة `AshAdmin.Components.Resource.Form.consume_file_uploads/1` ببناء المسار الوجهة باستخدام `Path.join([tmp_dir, entry.client_name])` وكتابتها عبر `File.cp!/2`. يُعد `entry.client_name` اسم الملف الذي يوفره المتصفح وغير مُنظَّف (sanitized)، ولا تقوم دالة `Path.join/1` بتطبيع المسار. وبالتالي، فإن ملف رفع يحمل الاسم `../../../../var/www/app/priv/static/x.png` يفلت من دليل المؤقت العشوائي ويصل إلى أي مكان يمكن لمستخدم BEAM الكتابة فيه، مما يتيح كتابة ملفات عشوائية وقد يؤدي إلى تنفيذ كود عن بُعد (RCE) عبر استبدال أصول التطبيق أو الملفات التكوينية أو ملفات cron/ssh. الحارس الوحيد هو قائمة السماح بالامتدادات التي تكون افتراضياً `:any` وتتحقق فقط من الامتداد. تقوم الإصلاحات بإزالة مكونات المسار باستخدام `Path.basename/1` قبل الدمج.
هذه المشكلة تؤثر على ash_admin في النسخ بدءاً من 0.13.7 وحتى ما دون 1.3.1.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.