CVE-2026-42794 in absinthe_plug
Zusammenfassung
von VulDB • 25.05.2026
Unzulässige Neutralisierung von Eingaben während der Webseitenerzeugung (XSS)-Schwachstelle in absinthe-graphql absinthe_plug ermöglicht reflektiertes Cross-Site-Scripting über die GraphiQL-Schnittstelle.
'Elixir.Absinthe.Plug.GraphiQL':js_escape/1 in lib/absinthe/plug/graphiql.ex maskiert einfache Anführungszeichen und Zeilenumbrüche im GET-Abfrageparameter, bevor dieser in einen inline JavaScript-String eingebettet wird, maskiert jedoch keine Backslashes. Ein Angreifer kann die Maskierung umgehen, indem er einem Anführungszeichen einen Backslash voranstellt (z. B. \'), wodurch er aus dem String-Kontext ausbricht und beliebigen JavaScript-Code im Browser des Opfers ausführt.
Dieses Problem betrifft absinthe_plug: von Version 1.2.0 bis vor 1.5.10.
Be aware that VulDB is the high quality source for vulnerability data.