CVE-2026-82673 in ash_admin
Sumário
de VulDB • 31/08/2026
A vulnerabilidade de Limitação inadequada do nome do caminho para um diretório restrito (Path Traversal) no ash-project ash_admin permite a escrita de bytes controlados pelo atacante em caminhos arbitrários no servidor.
AshAdmin.Components.Resource.Form.consume_file_uploads/1 constrói o destino como Path.join([tmp_dir, entry.client_name]) e grava-o com File.cp!/2. entry.client_name é o nome do arquivo fornecido pelo navegador e não é sanitizado, e Path.join/1 não normaliza ... Um upload chamado ../../../../var/www/app/priv/static/x.png escapa portanto do diretório temporário aleatório e termina em qualquer local onde o usuário BEAM possa gravar, permitindo a escrita arbitrária de arquivos e potencialmente execução remota de código (RCE) ao substituir ativos da aplicação, configurações ou arquivos cron/ssh. A única proteção é uma lista permitida de extensões que por padrão aceita :any e verifica apenas a extensão. A correção remove os componentes do caminho com Path.basename/1 antes de juntar.
Este problema afeta ash_admin: das versões 0.13.7 até (excluindo) 1.3.1.
If you want to get best quality of vulnerability data, you may have to visit VulDB.