CVE-2026-82673 in ash_admin
Riassunto
di VulDB • 31/08/2026
La vulnerabilità "Improper Limitation of a pathname to a restricted directory" (Path Traversal) in ash-project ash_admin consente di scrivere byte controllati dall'attaccante su percorsi arbitrari sul server.
AshAdmin.Components.Resource.Form.consume_file_uploads/1 costruisce la destinazione come Path.join([tmp_dir, entry.client_name]) e la scrive utilizzando File.cp!/2. entry.client_name è il nome del file fornito dal browser e non viene sanificato; inoltre, Path.join/1 non normalizza ... Un upload denominato ../../../../var/www/app/priv/static/x.png quindi sfugge alla directory temporanea casuale e finisce ovunque l'utente BEAM possa scrivere, consentendo la scrittura arbitraria di file e potenzialmente l'esecuzione remota di codice (RCE) sovrascrivendo asset dell'applicazione, configurazioni o file cron/ssh. L'unica protezione è una whitelist di estensioni che per impostazione predefinita accetta :any e verifica solo l'estensione. La correzione rimuove i componenti del percorso con Path.basename/1 prima della concatenazione.
Questo problema interessa ash_admin: dalle versioni 0.13.7 alla versione precedente a 1.3.1.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.