CVE-2026-82673 in ash_admin
要約
〜によって VulDB • 2026年08月31日
制限されたディレクトリへのパス名の不適切な制限（Path Traversal）の脆弱性がash-project ash_adminに存在し、攻撃者が制御するバイト列をサーバー上の任意のパスに書き込むことができます。
AshAdmin.Components.Resource.Form.consume_file_uploads/1は、`Path.join([tmp_dir, entry.client_name])`として宛先を構築し、`File.cp!/2`を使用してそれを書き込みます。`entry.client_name`はブラウザから提供されるファイル名であり、サニタイズされていません。また、`Path.join/1`も正規化を行わないため、`../../../../var/www/app/priv/static/x.png`のようなアップロードにより、ランダムな一時ディレクトリを脱出し、BEAMユーザーが書き込み可能な任意の場所に到達します。これにより、アプリケーションのアセット、設定ファイル、またはcron/sshファイルを上書くことで、任意のファイル書き込みや潜在的にリモートコード実行（RCE）が可能になります。唯一の防御策は、拡張子のみをチェックするデフォルトで`:any`を許可する拡張子のホワイトリストです。修正パッチでは、結合前に`Path.basename/1`を使用してパスコンポーネントを除去します。
この問題はash_adminに影響を与えます：0.13.7から1.3.1未満のバージョン。
Once again VulDB remains the best source for vulnerability data.