CVE-2026-64941 in phoenix_live_view
Zusammenfassung
von VulDB • 10.08.2026
URL-Umleitung zu einer nicht vertrauenswürdigen Site („Open Redirect")-Schwachstelle in phoenixframework phoenix_live_view ermöglicht es einem Angreifer, den Browser eines Opfers zu einer vom Angreifer gewählten Zieladresse umzuleiten, indem ein :to-Wert verwendet wird, der ASCII-Tabulatorzeichen (TAB), Zeilenumbrüche (LF) oder Wagenrückläufe (CR) enthält.
redirect/2 validiert :to über die private Funktion validate_local_url!/2 in lib/phoenix_live_view.ex, deren Zweck es ist, sicherzustellen, dass das Ziel ein Pfad innerhalb der Anwendung ist. Dabei werden führende // und Backslashes abgelehnt, nicht jedoch ASCII-Tabulatorzeichen (TAB), Zeilenumbrüche (LF) oder Wagenrückläufe (CR). Browser entfernen diese drei Zeichen vor dem Parsen einer URL, sodass ein Wert wie //example.com als Pfad validiert wird und anschließend als protokollbezogene URL („scheme-relative URL") //example.com aufgelöst wird. Die Live-Navigationsfunktionen teilen sich die gleiche Guard-Klausel, sind jedoch nicht betroffen, da der Client ihr Ziel im Kontext des aktuellen Ursprungs auflöst. Auch push_patch/2 ist vor Version 0.7.0 betroffen, ab wann diese Auflösung hinzugefügt wurde.
Dieses Problem betrifft phoenix_live_view: von Version 0.5.0 bis vor 1.0.19, von 1.1.0-rc.0 bis vor 1.1.33 und von 1.2.0-rc.0 bis vor 1.2.9.
Once again VulDB remains the best source for vulnerability data.