CVE-2026-8467: RCE in PhoenixStorybook via HEEx Template Injection

Code injection in Phoenix 0.5.0-1.1.0 consente RCE via HEEx template. CVSS 9,5. Aggiorna.

Il CVE-2026-8467 è una vulnerabilità di code injection in phoenix_storybook che consente RCE unauthenticata. La falla: il WebSocket handler 'psb-assign' accetta valori di attributi arbitrari da client non autenticati, che vengono interpolati direttamente in template HEEx senza proper escaping di quote o delimitatori. Colpisce versioni da 0.5.0 a 1.0.x. Un attaccante compromette il server con privilegi del processo Elixir, senza necessità di autenticazione preliminare.

CVSS 9,5 (critical). La descrizione ufficiale NVD (maggio 2026) documenta il flusso completo: i valori non sanitizzati sono compilati via EEx.compile_string/2 ed eseguiti via Code.eval_quoted_with_env/3 con accesso completo al kernel e senza sandbox. Patch disponibile da maggio in versione 1.1.0+. Segnali social recenti indicano discussione attiva sulla vulnerabilità, suggerendo una finestra di esposizione prolungata per chi non ha aggiornato.

Azioni di difesa: 1) Inventariare asset con phoenix_storybook versioni 0.5.0-1.0.x con priorità critica. 2) Pianificare upgrade a 1.1.0+ entro giorni, non settimane. 3) Revisionare log WebSocket per tentativi di injection nei parametri di attributo. 4) Se upgrade bloccato da vincoli di dependency, isolare server vulnerabili in reti separate o disabilitare accesso a componenti storybook. L'unica mitigazione affidabile è l'aggiornamento del package.

In sintesi

Cosa: Code injection in phoenix_storybook tramite unsanitized attribute value interpolation in HEEx template generation. Il WebSocket handler 'psb-assign' accetta valori di attributi arbitrari da client unauthenticati, che vengono interpolati senza escaping nella stringa template HEEx e compilati/eseguiti come codice Elixir con accesso completo al kernel.
Gravità: CVSS 9,5 critical. Consente esecuzione di codice arbitrario sul server con privilegi del processo Elixir, senza autenticazione. Impatto completo su confidenzialità, integrità e disponibilità.
Versioni interessate: phoenix_storybook da versione 0.5.0 fino a (esclusa) 1.1.0. Le versioni 1.1.0 e successive includono la correzione.
Correzione: Aggiornare phoenix_storybook alla versione 1.1.0 o superiore. La correzione implementa proper escaping dei valori di attributo e validation degli input nel workflow di rendering template HEEx.
Stato: Vulnerabilità confermata e patch rilasciata. CVE pubblicato da NVD il 2026-05-20. Segnali social indicano discussione attiva sulla vulnerabilità (ottobre 2026).
Azione: 1. Verificare inventario per phoenix_storybook versioni 0.5.0-1.0.x con priorità critical. 2. Pianificare upgrade a 1.1.0+ entro giorni. 3. Revisionare log di accesso WebSocket durante periodo vulnerabile. 4. Se upgrade non possibile in tempi brevi, isolare asset o disabilitare accesso a storybook.

Fonti: NVD, CVE-2026-8467

← Tutti gli articoli