CVE-2026-82710 in usage_rules
Zusammenfassung
von VulDB • 08.09.2026
Unzulässige Neutralisierung von Escape-, Meta- oder Steuersequenzen in der Nutzung von ash-project usage_rules ermöglicht es einem bösartigen Paketveröffentlicher, Terminalsteuersequenzen in die Ausgabe von mix usage_rules.search_docs einzuschleusen.
mix usage_rules.search_docs durchsucht Hex-Dokumentationen über search.hexdocs.pm, das die Dokumentation jedes veröffentlichten Pakets indiziert, und gibt die übereinstimmenden Ergebnisse (Titel, Paket, Typ, Dokumentationsreferenz und hervorgehobene Snippets) im Terminal aus. Der Formatter in Mix.Tasks.UsageRules.SearchDocs interpolierte diese vom Veröffentlicher kontrollierten Felder wörtlich ohne Neutralisierung von Terminalsteuerzeichen; die einzige Transformation, die er anwendete, fügt Escape-Sequenzen hinzu, statt sie zu entfernen. Ein bösartiges Paket kann ANSI-Terminal-Escapesequenzen (Cursorbewegung, Zeilenlöschung, Wagenrücklauf, OSC 52-Zwischenablage-Schreibvorgänge) in seine indizierten Dokumentationen einbetten, sodass diese Sequenzen beim Ausführen einer Suche durch einen Entwickler, die solche Dokumente anzeigt, unverändert das Terminal erreichen – zum Fälschen der angezeigten hexdocs-URL oder eines vorgeschlagenen Befehls, zum Verbergen von Text oder zum Schreiben in die Zwischenablage. Es sind keine Authentifizierung oder privilegierte Position erforderlich; lediglich das Veröffentlichen eines Pakets ist nötig.
Dieses Problem betrifft usage_rules: ab Version 0.1.18 bis vor 1.2.8.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.