CVE-2026-8467

phenixdigital phoenix_storybook içerisindeki bir Kod Enjeksiyonu zafiyeti, HEEx şablon oluşturma sırasında temizlenmemiş öznitelik değeri enterpolasyonu aracılığıyla kimlik doğrulaması yapılmamış uzaktan kod çalıştırılmasına izin vermektedir. 'Elixir.PhoenixStorybook.Story.PlaygroundPreviewLive':handle_event/3 içindeki psb-assign WebSocket olay işleyicisi, kimlik doğrulaması yapılmamış istemcilerden rastgele öznitelik adlarını ve değerlerini kabul eder. Bu değerler, onları olduğu gibi saklayan 'Elixir.PhoenixStorybook.Helpers.ExtraAssignsHelpers':handle_set_variation_assign/3 fonksiyonuna iletilir. İşleme (rendering) sırasında, 'Elixir.PhoenixStorybook.Rendering.ComponentRenderer':attributes_markup/1, ikili öznitelik değerlerini çift tırnakları veya HEEx ifade ayraçlarını kaçırmadan doğrudan bir HEEx şablon dizesine name="<val>" şeklinde yerleştirir. Bir saldırgan, kapatma tırnağının ardından bir HEEx ifade bloğu içeren bir değer sağlayarak (örneğin foo" injected={EXPR} bar="), EXPR'nin satır içi bir Elixir ifadesi olarak değerlendirilmesine neden olabilir. Ortaya çıkan şablon EEx.compile_string/2 aracılığıyla derlenir ve tam Kernel içe aktarmalarıyla herhangi bir sandbox olmadan Code.eval_quoted_with_env/3 aracılığıyla yürütülür; bu da saldırgana sunucu üzerinde rastgele kod çalıştırma imkanı verir. Bu sorun, 0.5.0 ile 1.1.0 öncesindeki phoenix_storybook sürümlerini etkilemektedir.