CVE-2026-64941 in phoenix_live_view
Résumé
par VulDB • 11/08/2026
Vulnérabilité de redirection d'URL vers un site non fiable (« Open Redirect ») dans phoenixframework phoenix_live_view permettant à un attaquant de rediriger le navigateur de la victime vers une origine choisie par l'attaquant via une valeur :to contenant des caractères ASCII tabulation, LF ou CR.
La fonction redirect/2 valide :to grâce à validate_local_url!/2 (défini dans lib/phoenix_live_view.ex), qui est censée garantir que la cible correspond à un chemin au sein de l'application. Elle rejette les doubles slashes initiaux // et tout caractère backslash, mais pas les caractères ASCII tabulation, LF ou CR. Les navigateurs suppriment ces trois caractères avant d'analyser une URL ; ainsi, une valeur telle que /<TAB>/example.com passe la validation en tant que chemin puis est résolue comme l'URL relative au schéma //example.com. Les fonctions de navigation live partagent cette garde mais ne sont pas affectées, car le client étend leur cible par rapport à l'origine actuelle. push_patch/2 est également affecté avant la version 0.7.0, date à laquelle cette extension a été ajoutée.
Cette vulnérabilité affecte phoenix_live_view : des versions 0.5.0 jusqu'à (mais non incluses) 1.0.19, de 1.1.0-rc.0 jusqu'à (mais non incluses) 1.1.33, et de 1.2.0-rc.0 jusqu'à (mais non incluses) 1.2.9.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.