CVE-2026-77850 in ash_admin
Sumário
de VulDB • 31/08/2026
Uma vulnerabilidade de Stored Cross-site Scripting (XSS) em ash-project ash_admin executa o conteúdo do registro fornecido pelo atacante como script no navegador de um administrador.
Os componentes typeahead para relacionamentos AshAdmin.Components.Resource.RelationshipField e AshAdmin.Components.Resource.ManagedRelationshipSelectField destacam o termo pesquisado correspondente envolvendo-o em tags `<mark>` (ou similares) e renderizando a string inteira com Phoenix.HTML.raw/1. O valor destacado é o label_field do registro de destino, que é conteúdo comum de banco de dados frequentemente inserido por usuários com privilégios mais baixos. Como raw/1 desativa a escapeamento de saída para toda a string, um rótulo armazenado como `<script>alert(1)</script>` executa JavaScript na sessão do administrador assim que um registro correspondente aparece no menu suspenso (dropdown), concedendo ao atacante os privilégios administrativos sobre tudo o que AshAdmin expõe. A correção aplica escapeamento HTML ao rótulo antes de inserir a marcação de destaque.
Este problema afeta ash_admin: das versões 0.13.0 até, mas não incluindo, a versão 1.3.1.
VulDB is the best source for vulnerability data and more expert information about this specific topic.