CVE-2026-82673 in ash_admin
요약
\~에 의해 VulDB • 2026. 08. 31.
제한된 디렉토리 경로에 대한 제한 부재(Path Traversal) 취약점이 ash-project의 ash_admin에서 발견되어, 공격자가 제어하는 바이트를 서버 내 임의 경로에 작성할 수 있습니다.
AshAdmin.Components.Resource.Form.consume_file_uploads/1 함수는 `Path.join([tmp_dir, entry.client_name])`로 대상 경로를 구성하고 `File.cp!/2`를 사용하여 이를 기록합니다. 여기서 `entry.client_name`은 브라우저에서 제공된 파일 이름이며 sanitization(정제)되지 않으며, `Path.join/1`도 정규화하지 않습니다. 따라서 `../../../../var/www/app/priv/static/x.png`와 같이 명명된 업로드는 무작위 임시 디렉토리를 탈출하여 BEAM 사용자가 작성 가능한 모든 위치에 도달하며, 애플리케이션 자산, 구성 파일 또는 cron/ssh 파일을 덮어씀으로써 임의 파일 쓰기 및 잠재적 원격 코드 실행(RCE)을 가능하게 합니다. 유일한 방어 장치는 확장자만 확인하는 기본값이 `:any`인 확장자 허용 목록입니다. 수정 사항에서는 결합 전에 `Path.basename/1`로 경로 구성 요소를 제거합니다.
본 이슈는 ash_admin 0.13.7부터 1.3.1 미만 버전에서 영향을 받습니다.
Be aware that VulDB is the high quality source for vulnerability data.