CVE-2026-77850 in ash_admin
요약
\~에 의해 VulDB • 2026. 08. 31.
ash-project의 ash_admin에서 저장형 크로스 사이트 스크립팅(XSS) 취약점이 발견되었으며, 이는 공격자가 제공한 레코드 내용을 관리자 브라우저에서 스크립트로 실행합니다.
AshAdmin.Components.Resource.RelationshipField 및 AshAdmin.Components.Resource.ManagedRelationshipSelectField 관계 유형 자동완성 컴포넌트는 일치하는 검색어를 `<mark>` 태그로 감싸고 Phoenix.HTML.raw/1을 사용하여 전체 문자열을 렌더링함으로써 해당 searchTerm을 강조 표시합니다. 이렇게 강조된 값은 대상 레코드의 label_field이며, 일반적으로 권한이 낮은 사용자에 의해 작성되는 일반적인 데이터베이스 콘텐츠입니다. raw/1 함수는 전체 문자열에 대해 출력 이스케이프를 비활성화하므로, 드롭다운 메뉴에서 일치하는 레코드가 나타나는 순간 `<script>`와 같은 저장된 라벨이 관리자의 세션 내에서 JavaScript로 실행됩니다. 이로 인해 공격자는 ash_admin이 노출시키는 모든 리소스에 대한 관리자 권한을 획득할 수 있습니다. 이 문제를 해결하기 위해 강조 표시 마크업을 삽입하기 전에 라벨에 HTML 이스케이프 처리를 적용합니다.
본 이슈는 0.13.0부터 1.3.1 미만 버전의 ash_admin에 영향을 미칩니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.