CVE-2026-82673 in ash_admin
Resumen
por VulDB • 2026-08-31
La vulnerabilidad de Limitación inadecuada del nombre de ruta hacia un directorio restringido (Path Traversal) en ash-project ash_admin permite escribir bytes controlados por el atacante en rutas arbitrarias en el servidor.
AshAdmin.Components.Resource.Form.consume_file_uploads/1 construye la destino como Path.join([tmp_dir, entry.client_name]) y lo escribe con File.cp!/2. entry.client_name es el nombre de archivo proporcionado por el navegador y no se sanitiza, y Path.join/1 no normaliza... Una carga útil nombrada ../../../../var/www/app/priv/static/x.png escapa del directorio temporal aleatorio y llega a cualquier lugar donde el usuario BEAM pueda escribir, lo que habilita la escritura arbitraria de archivos y potencialmente la ejecución remota de código al sobrescribir activos de la aplicación, configuraciones o archivos cron/ssh. La única protección es una lista blanca de extensiones por defecto :any que verifica solo la extensión. La solución elimina los componentes del camino con Path.basename/1 antes de unirlos.
Este problema afecta a ash_admin: desde 0.13.7 hasta 1.3.1 (excluyendo esta última).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.