CVE-2026-58228

phoenixframework phoenix_live_view komponentindəki saytlararası skriptinq (XSS) zəifliyi hücumçuya URL sxeminin validasiyasından yan keçməyə və qurbanın brauzer sessiyasında JavaScript kodunu icra etməyə imkan verir. lib/phoenix_live_view/utils.ex faylındakı Phoenix.LiveView.Utils.valid_destination!/2 və Phoenix.LiveView.Utils.valid_live_navigation_destination!/2 funksiyaları daxili uri_scheme/1 köməkçi funksiyasından istifadə edir ki, bu da yalnız girişin ilk baytı ASCII hərfi olduqda sxemi təyin edir. ASCII idarəetmə simvolu və ya boşluqla başlayan girişlər nil qaytaran bəndə keçid edir və bu da URL-in təhlükəsiz nisbi yol kimi qəbul edilməsinə səbəb olur. Standart brauzerlər, analizdən əvvəl ön tərəfdəki C0 idarəetmə və boşluq simvollarını silən WHATWG URL analizatorunu tətbiq edirlər. Nəticədə, " javascript:alert(1)" kimi bir giriş dəyişdirilmədən <.link href={...}> hissəsinə ötürülür və kliklədikdə brauzer tərəfindən qurbanın sessiyasında hücumçunun idarə etdiyi skripti icra edən javascript: URL-i kimi analiz edilir. İstifadəçi tərəfindən təmin edilən URL-ləri (məsələn, profil linkləri, yönləndirmə hədəfləri və ya xarici istinadlar) <.link href={...}> vasitəsilə render edən tətbiqlər bu problemdən təsirlənir. Bu problem phoenix_live_view versiya 1.2.2-dən başlayaraq 1.2.7 versiyasına qədər olan versiyalarda mövcuddur.