CVE-2026-8467

phenixdigital phoenix_storybook proqramındakı Kod İnyeksiyası zəifliyi, HEEx şablonlarının generasiyası zamanı təmizlənməmiş atribut dəyərlərinin interpolasiyası vasitəsilə autentifikasiya olunmamış uzaqdan kodun icrasına imkan verir. 'Elixir.PhoenixStorybook.Story.PlaygroundPreviewLive':handle_event/3 daxilindəki psb-assign WebSocket hadisə idarəçisi autentifikasiya olunmamış müştərilərdən ixtiyari atribut adlarını və dəyərlərini qəbul edir. Bu dəyərlər onları olduğu kimi saxlayan 'Elixir.PhoenixStorybook.Helpers.ExtraAssignsHelpers':handle_set_variation_assign/3 funksiyasına ötürülür. Render prosesi zamanı 'Elixir.PhoenixStorybook.Rendering.ComponentRenderer':attributes_markup/1 funksiyası ikili (binary) atribut dəyərlərini qoşa dırnaqları və ya HEEx ifadə ayırıcısını ekranlaşdırmadan birbaşa HEEx şablon sətirinə name="<val>" şəklində interpolasiya edir. Hücumçu bağlayıcı dırnaqdan sonra HEEx ifadə bloku (məsələn, foo" injected={EXPR} bar=") ehtiva edən dəyər təqdim edə bilər ki, bu da EXPR-in sətirdaxili Elixir ifadəsi kimi qəbul edilməsinə səbəb olur. Nəticədə yaranan şablon EEx.compile_string/2 vasitəsilə kompilyasiya edilir və tam Kernel importları ilə, heç bir qum qutusu (sandbox) olmadan Code.eval_quoted_with_env/3 vasitəsilə icra edilir, bu da hücumçuya serverdə ixtiyari kodun icrası imkanı verir. Bu problem phoenix_storybook versiya 0.5.0-dan etibarən 1.1.0 versiyasına qədər olan nəzərdə tutulmuş versiyalara təsir edir.