CVE-2026-77850

Nome do Software Vulnerável e Versões Afetadas ash admin versões 0.13.0 até 1.3.0

Description Um problema de Cross-site Scripting (XSS) armazenado existe onde o conteúdo de um registro fornecido por um invasor é executado como um script no navegador de um administrador. Os componentes de typeahead de relacionamento AshAdmin.Components.Resource.RelationshipField e AshAdmin.Components.Resource.ManagedRelationshipSelectField destacam termos de pesquisa envolvendo-os em tags <b> e renderizando a string usando a função Phoenix.HTML.raw/1. Como a função raw/1 desativa a filtragem de saída, um rótulo malicioso armazenado no label field pode executar JavaScript quando um registro correspondente aparece no menu suspenso, permitindo que um invasor obtenha os privilégios do administrador.

Recommendations Atualize o ash admin para a versão 1.3.1 ou posterior.