CVE-2026-82710

ash-project usage_rules daxilindəki "Escape, Meta və ya İdarəetmə Ardıcıllıqlarının Yanlış Neytrallaşdırılması" zəifliyi, bədniyyətli paket nəşrcisinə mix usage_rules.search_docs çıxışına terminal idarəetmə ardıcıllıqlarını yerləşdirməyə imkan verir. mix usage_rules.search_docs, hər bir dərc edilmiş paketin sənədlərini indeksləyən search.hexdocs.pm vasitəsilə Hex sənədlərində axtarış aparır və uyğun gələn nəticələri (başlıq, paket, növ, sənəd istinadı və vurğulanmış hissələr) terminala çap edir. Mix.Tasks.UsageRules.SearchDocs daxilindəki formatlayıcı həmin nəşrcinin nəzarət etdiyi sahələri olduğu kimi interpolasiya etmiş və heç bir terminal idarəetmə simvolunu neytrallaşdırmamışdır; tətbiq etdiyi yeganə transformasiya onları silmək əvəzinə escape ardıcıllıqları əlavə edirdi. Bədniyyətli paket öz indekslənmiş sənədlərinə ANSI terminal escape ardıcıllıqlarını (kursorun hərəkəti, sətrin silinməsi, carriage return, OSC 52 bufer yazmaları) yerləşdirə bilər, beləliklə, tərtibatçı həmin sənədləri üzə çıxaran axtarış apardıqda, ardıcıllıqlar dəyişdirilmədən terminala çatır — bu isə göstərilən hexdocs URL-nin və ya təklif olunan əmrin saxtalaşdırılmasına, mətnin gizlədilməsinə və ya buferə yazı yazılmasına səbəb olur. Heç bir autentifikasiya və ya imtiyazlı mövqe tələb olunmur; yalnız paketin dərc edilməsi kifayətdir. Bu problem usage_rules versiya 0.1.18-dən başlayaraq 1.2.8-ə qədər olan versiyalara təsir edir.