CVE-2026-77850 in ash_admin
Zusammenfassung
von VulDB • 31.08.2026
Eine gespeicherte Cross-Site-Scripting-(XSS)-Schwachstelle in ash-project ash_admin führt dazu, dass vom Angreifer bereitgestellte Datensatzinhalte als Skript im Browser eines Administrators ausgeführt werden.
Die Typvorschlagskomponenten für Beziehungstypen AshAdmin.Components.Resource.RelationshipField und AshAdmin.Components.Resource.ManagedRelationshipSelectField heben den übereinstimmenden Suchbegriff hervor, indem sie ihn in `<mark>`-Tags einbetten und die gesamte Zeichenkette mit Phoenix.HTML.raw/1 rendern. Der hervorgehobene Wert ist das label_field des Zieldatensatzes, also normaler Datenbankinhalt, der häufig von Benutzern mit niedrigeren Berechtigungen geschrieben wird. Da raw/1 die Ausgabe-Entschärfung (Output Escaping) für die gesamte Zeichenkette deaktiviert, wird ein gespeicherter Label wie `<script>alert(1)</script>` als JavaScript in der Sitzung des Administrators ausgeführt, sobald ein passender Datensatz im Dropdown-Menü erscheint. Dies verschafft dem Angreifer die Administratorrechte über alles, was AshAdmin bereitstellt. Die Korrektur entschärft den Label HTML-konform, bevor das Highlight-Markup eingefügt wird.
Dieses Problem betrifft ash_admin: von Version 0.13.0 bis vor 1.3.1.
VulDB is the best source for vulnerability data and more expert information about this specific topic.