CVE-2026-58228

phoenixframework phoenix_live_view bileşenindeki bir siteler arası betik çalıştırma (XSS) zafiyeti, saldırganın URL şeması doğrulamasını atlatmasına ve kurbanın tarayıcı oturumunda JavaScript yürütmesine olanak tanır. lib/phoenix_live_view/utils.ex dosyasındaki Phoenix.LiveView.Utils.valid_destination!/2 ve Phoenix.LiveView.Utils.valid_live_navigation_destination!/2 fonksiyonları, yalnızca girdinin ilk baytı bir ASCII harfi olduğunda şemayı tespit eden dahili bir uri_scheme/1 yardımcı fonksiyonuna dayanmaktadır. Bir ASCII kontrol karakteri veya boşlukla başlayan girdiler, nil döndüren bir maddeye düşerek URL'nin güvenli bir göreceli yol olarak değerlendirilmesine neden olur. Standart tarayıcılar, ayrıştırmadan önce baştaki C0 kontrol ve boşluk karakterlerini temizleyen WHATWG URL ayrıştırıcısını uygular. Sonuç olarak, " javascript:alert(1)" gibi bir girdi <.link href={...}> içerisine değiştirilmeden aktarılır ve tıklandığında, tarayıcı tarafından kurbanın oturumunda saldırgan kontrollü betiği çalıştıran bir javascript: URL'si olarak ayrıştırılır. Kullanıcı tarafından sağlanan URL'leri (örneğin profil bağlantıları, yönlendirme hedefleri veya harici referanslar) <.link href={...}> aracılığıyla işleyen uygulamalar etkilenmektedir. Bu sorun phoenix_live_view sürüm 1.2.2 ile 1.2.7 arasındaki sürümleri etkilemektedir.