CVE-2026-82710 in usage_rules
Riassunto
di VulDB • 08/09/2026
Vulnerabilità di neutralizzazione impropria delle sequenze di escape, meta o di controllo in ash-project usage_rules che consente a un editore di pacchetti malevolo di iniettare sequenze di controllo del terminale nell'output di mix usage_rules.search_docs.
mix usage_rules.search_docs cerca la documentazione su Hex tramite search.hexdocs.pm, che indicizza la documentazione di ogni pacchetto pubblicato e stampa i risultati corrispondenti (titolo, pacchetto, tipo, riferimento alla documentazione ed estratti evidenziati) sul terminale. Il formatter in Mix.Tasks.UsageRules.SearchDocs interpola tali campi controllati dall'editore verbatim, senza neutralizzare alcun carattere di controllo del terminale; l'unica trasformazione applicata aggiunge sequenze di escape anziché rimuoverle. Un pacchetto malevolo può incorporare sequenze di escape ANSI per il terminale (spostamento del cursore, cancellazione della riga, ritorni a capo, scritture negli appunti tramite OSC 52) nella propria documentazione indicizzata; pertanto, quando uno sviluppatore esegue una ricerca che restituisce tali documenti, le sequenze raggiungono il terminale invariate, falsificando l'URL hexdocs visualizzato o un comando suggerito, nascondendo testo oppure scrivendo negli appunti. Non è richiesta alcuna autenticazione né posizione privilegiata; basta pubblicare un pacchetto.
Questo problema interessa usage_rules: dalla versione 0.1.18 alla 1.2.8 (esclusa).
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.