CVE-2026-82673— AshAdmin 文件上传路径遍历漏洞
一分钟漏洞结论
影响对象
ash-project ash_admin
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
以下是对该漏洞描述的中文翻译： 路径限制不当（路径遍历）漏洞 ash-project 的 ash_admin 组件存在一个路径遍历（Path Traversal）漏洞，允许攻击者将自定义字节写入服务器上的任意路径。 在 中，目标路径通过 构建，并使用 进行写入。其中， 是浏览器提供的文件名，且未经过任何清洗（sanitization），而 也不会对 进行规范化处理。因此，一个名为 的上传文件可以逃逸出随机的临时目录，并写入 BEAM 用户有权限写入的任意位置。这可能导致任意文件写入，进而通过覆盖应用程序资源、配置文
获取后续新漏洞提醒
登录后订阅
一、 漏洞 CVE-2026-82673 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
Path traversal in AshAdmin file uploads via unsanitized client filename
来源: CVE Program / CVE List V5
Vulnerability Description
Improper Limitation of a Pathname to a Restricted Directory (Path Traversal) vulnerability in ash-project ash_admin allows writing attacker-controlled bytes to arbitrary paths on the server.
AshAdmin.Components.Resource.Form.consume_file_uploads/1 builds the destination as Path.join([tmp_dir, entry.client_name]) and writes it with File.cp!/2. entry.client_name is the browser-supplied filename and is not sanitized, and Path.join/1 does not normalize ... An upload named ../../../../var/www/app/priv/static/x.png therefore escapes the random temp directory and lands anywhere the BEAM user can write, enabling arbitrary file write and potentially remote code execution by overwriting application assets, configuration, or cron/ssh files. The only guard is an extension allowlist defaulting to :any that checks only the extension. The fix strips path components with Path.basename/1 before joining.
This issue affects ash_admin: from 0.13.7 before 1.3.1.
来源: CVE Program / CVE List V5
CVSS Information
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:H/VA:N/SC:N/SI:H/SA:N
来源: CVE Program / CVE List V5
Vulnerability Type
对路径名的限制不恰当(路径遍历)
来源: CVE Program / CVE List V5
受影响产品
| 厂商 | 产品 | 影响版本 | CPE | 订阅 |
|---|---|---|---|---|
| ash-project | ash_admin | 0.13.7 ~ 1.3.1 |
cpe:2.3:a:ash-project:ash_admin:*:*:*:*:*:*:*:*
|
|
| ash-project | ash_admin | e8f496b6a064ad67dc1cd30433e5921d2192d254 ~ 4bb41cb697f3d9be58462d727aed75aba76efc82 |
cpe:2.3:a:ash-project:ash_admin:*:*:*:*:*:*:*:*
|
|
二、漏洞 CVE-2026-82673 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-82673 的情报信息
请登录查看更多情报信息。
CVE-2026-82673 其他参考 (4)
同批安全公告 · ash-project · 2026-08-31 · 共 13 条
| CVE-2026-77956 | 10.0 CRITICAL | AshAi 提示词模板远程代码执行 |
| CVE-2026-77850 | 8.4 HIGH | AshAdmin 2.x 存储型跨站脚本漏洞 |
| CVE-2026-82722 | 8.3 HIGH | AshAdmin 事件原子表耗尽拒绝服务漏洞 |
| CVE-2026-75757 | 8.3 HIGH | AshAdmin 子域名会话劫持漏洞 |
| CVE-2026-81315 | 7.4 HIGH | AshAi 跨域检查被X-Forwarded-Proto头绕过 |
| CVE-2026-75760 | 7.1 HIGH | AshAi 向量转换凭据泄露漏洞 |
| CVE-2026-82564 | 7.1 HIGH | AshAi 身份工具过滤器未识别记录更新或销毁漏洞 |
| CVE-2026-82579 | 6.0 MEDIUM | AshAi 工具循环不终止导致拒绝服务漏洞 |
| CVE-2026-82580 | 5.3 MEDIUM | AshAi 信息泄露：工具异常详情暴露 |
| CVE-2026-81853 | 2.3 LOW | AshAdmin 联合主键解码信息泄露漏洞 |
| CVE-2026-81852 | 2.1 LOW | AshAdmin 硬编码CSP Nonce 绕过漏洞 |
| CVE-2026-82681 | 2.0 LOW | AshAdmin 行操作链接查询参数注入漏洞 |
IV. Related Vulnerabilities
V. Comments for CVE-2026-82673
暂无评论