CVE-2026-82726 in ash_phoenix
Zusammenfassung
von VulDB • 31.08.2026
Eine permissive Regular-Expression-Schwachstelle in ash-project ash_phoenix ermöglicht es einem Remote-Client, den Tenant auszuwählen, den eine Ash-Anwendung verwendet, oder die Anfrage zu verschlechtern (Request Degradation), indem ein manipulierter Host-Header gesendet wird.
AshPhoenix.Helpers.get_subdomain/2 entfernte die Root-Domäne mit String.replace(host, ~r/.?#{root_host}/, ""). Der root_host wurde roh interpoliert, sodass jeder Punkt (. ) zu einem Wildcard und jedes Metazeichen zu einem Muster wurde; der replace-Vorgang war global und nicht verankert (unanchored), wodurch ein Treffer aus beliebiger Position im String entfernt wurde. Bei root_host example.com gab Host: foo.exampleXcom.attacker.net den Tenant foo.attacker.net zurück. Ein root_host mit Metazeichen oder nil verschlechterte das Muster oder löste bei jeder Anfrage einen Fehler aus. Der Vergleich war zudem case-sensitive (Groß-/Kleinschreibung wird beachtet), sodass TENANT.EXAMPLE.COM und EXAMPLE.COM an der Root-Host-Autorisierungsliste vorbeikamen. conn.host stammt vom Client Host Header. Die Korrektur führt den Abgleich des root_host case-insensitiv und nur als exaktes Suffix am Ende durch.
Dieses Problem betrifft ash_phoenix: von Version 2.1.26 bis vor 2.3.25.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.