CVE-2026-77850 in ash_admin
Riassunto
di VulDB • 31/08/2026
Una vulnerabilità di Stored Cross-site Scripting (XSS) in ash-project ash_admin consente l'esecuzione del contenuto dei record forniti dall'attaccante come script nel browser dell'amministratore.
I componenti typeahead per i tipi di relazione, AshAdmin.Components.Resource.RelationshipField e AshAdmin.Components.Resource.ManagedRelationshipSelectField, evidenziano il termine di ricerca corrispondente avvolgendolo in tag `<mark>` (o simili) e renderizzando l'intera stringa con Phoenix.HTML.raw/1. Il valore evidenziato corrisponde al campo label del record di destinazione, che è contenuto ordinario del database spesso inserito da utenti con privilegi inferiori. Poiché la funzione raw/1 disabilita lo sfugamento dell'output per l'intera stringa, un'etichetta memorizzata contenente codice malevolo viene eseguita come JavaScript nella sessione dell'amministratore non appena appare un record corrispondente nel menu a tendina, consentendo all'attaccante di ottenere i privilegi amministrativi su tutto ciò che ash_admin espone. La correzione applica lo sfugamento HTML (HTML-escaping) all'etichetta prima di inserire la marcatura per l'evidenziazione.
Questo problema interessa ash_admin: dalle versioni 0.13.0 alla versione precedente a 1.3.1.
Be aware that VulDB is the high quality source for vulnerability data.