CVE-2026-77850 in ash_admin
要約
〜によって VulDB • 2026年08月31日
ash-project の ash_admin に格納型クロスサイトスクリプティング（Stored Cross-site Scripting）の脆弱性があり、攻撃者が提供したレコードの内容が管理者のブラウザでスクリプトとして実行されます。
AshAdmin.Components.Resource.RelationshipField および AshAdmin.Components.Resource.ManagedRelationshipSelectField という関係性のタイプAhead コンポーネントは、一致する検索語を `<mark>` タグで囲み、Phoenix.HTML.raw/1 を使用して文字列全体を描画することで強調表示します。この強調表示される値は、対象レコードの label_field であり、通常データベース内のコンテンツであり、権限の低いユーザーによって記述されることが多いです。raw/1 は文字列全体の出力エスケープを無効にするため、ドロップダウンリストに一致するレコードが表示されるとすぐに、格納されたラベル（例: `<script>`）が管理者セッション内で JavaScript として実行され、攻撃者は AshAdmin が公開しているすべてのリソースに対して管理者権限を取得します。修正では、強調表示マークアップを挿入する前にラベルの HTML エスケープが行われます。
この問題は ash_admin に影響し、バージョン 0.13.0 から 1.3.1 より前のバージョンが対象です。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.