CVE-2026-82710— 包文档元数据中的终端转义序列注入
一分钟漏洞结论
影响对象
ash-project usage_rules
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
中 存在“转义序列、元字符或控制序列的不当中和”漏洞，允许恶意的包发布者将终端控制序列注入到 的输出中。 通过 搜索 Hex 文档（该服务索引了所有已发布包的文档），并将匹配结果（标题、包名、类型、文档引用及高亮片段）打印到终端。 中的格式化器直接原样插值了这些由发布者控制的字段，未对终端控制字符进行任何中和处理；其唯一应用的转换操作是添加转义序列，而非移除控制字符。恶意包可以在其索引的文档中嵌入 ANSI 终端转义序列（如光标移动、行擦除、回车符、OSC 52 剪贴板写入等），因此，当开发者运行搜索并显示这些文档
获取后续新漏洞提醒
登录后订阅
一、 漏洞 CVE-2026-82710 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
Terminal escape sequence injection in mix usage_rules.search_docs via package documentation metadata
来源: CVE Program / CVE List V5
Vulnerability Description
Improper Neutralization of Escape, Meta, or Control Sequences vulnerability in ash-project usage_rules allows a malicious package publisher to inject terminal control sequences into the output of mix usage_rules.search_docs.
mix usage_rules.search_docs searches Hex documentation through search.hexdocs.pm, which indexes the documentation of every published package, and prints the matching results (title, package, type, doc reference, and highlighted snippets) to the terminal. The formatter in Mix.Tasks.UsageRules.SearchDocs interpolated those publisher-controlled fields verbatim, neutralizing no terminal control characters; the only transform it applied adds escape sequences rather than removing them. A malicious package can embed ANSI terminal escape sequences (cursor movement, line erase, carriage returns, OSC 52 clipboard writes) in its indexed documentation, so when a developer runs a search that surfaces those docs the sequences reach the terminal unchanged — forging the displayed hexdocs URL or a suggested command, hiding text, or writing to the clipboard. No authentication or privileged position is required; only publishing a package.
This issue affects usage_rules: from 0.1.18 before 1.2.8.
来源: CVE Program / CVE List V5
CVSS Information
CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:P/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N
来源: CVE Program / CVE List V5
Vulnerability Type
转义、元或控制序列转义处理不恰当
来源: CVE Program / CVE List V5
受影响产品
| 厂商 | 产品 | 影响版本 | CPE | 订阅 |
|---|---|---|---|---|
| ash-project | usage_rules | 0.1.18 ~ 1.2.8 |
cpe:2.3:a:ash-project:usage_rules:*:*:*:*:*:*:*:*
|
|
| ash-project | usage_rules | 2da7a99536041d63ec1f391d019565789a59595f ~ 3b8ebb4117d3272bbd436e6c2432113ba6685dbb |
cpe:2.3:a:ash-project:usage_rules:*:*:*:*:*:*:*:*
|
|
二、漏洞 CVE-2026-82710 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-82710 的情报信息
请登录查看更多情报信息。
CVE-2026-82710 补丁与修复 (1)
CVE-2026-82710 厂商安全公告 (1)
CVE-2026-82710 新闻报道 (1)
CVE-2026-82710 厂商页面 (1)
IV. Related Vulnerabilities
V. Comments for CVE-2026-82710
暂无评论