Phoenix Storybook HEEx模板注入导致未授权RCE漏洞(CVE-2026-8467)

EEF-CVE-2026-8467 漏洞总结 漏洞概述 漏洞编号：EEF-CVE-2026-8467 严重程度：9.5 (Critical) CVSS 评分：CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VA:H/SC:N/SI:H/SA:H 漏洞类型：未授权远程代码执行（通过 HEEx 模板注入） 影响组件： 发布日期：2026-05-20T13:35:29.018Z 修改日期：2026-05-20T13:56:23.273071966Z 影响范围 受影响版本：0.5.0 到 1.1.0（不含 1.1.0） 平台：SERVER 事件： - Introduced: 0.5.0 - Fixed: 1.1.0 修复方案 升级版本：升级到 或更高版本 仓库地址：https://github.com/phenixdigital/phoenix_storybook 漏洞详情 该漏洞存在于 中，允许未授权用户通过未清理的属性值插值在 HEEx 模板生成中实现远程代码执行。 具体而言， 接收任意属性名称和值，并将其传递给 ，存储后在渲染时直接插入到 HEEx 模板字符串中。攻击者可构造包含闭合引号及 HEEx 表达式块（如 ）的值，导致 EXP 被当作内联 Elixir 表达式编译执行，从而获得服务器上的任意代码执行能力。 参考链接 GitHub Advisory: https://github.com/phenixdigital/phoenix_storybook/security/advisories/GHSA-55hp-8xxw-qjdp CNA 页面: https://cna.ariel.org/osv/EEF-CVE-2026-8467.html GitHub Commit: https://github.com/phenixdigital/phoenix_storybook/commit/56ab8464d4375fa52db806148a06ce126ad481d Hex Package: https://hex.pm/packages/phoenix_storybook 贡献者 Nick Mykhailyshyn - FINDER Cenk Küçük - ANALYST Christian Blavier - REMEDIATION_DEVELOPER Jonatan Männchen - COORDINATOR 数据库特定信息 CWE: CWE-94 CAPEC: CAPEC-242 CPE: cpe:2.3:a:phenixdigital:phoenix_storybook::::::::

目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

Phoenix Storybook HEEx模板注入导致未授权RCE漏洞(CVE-2026-8467)

目标达成感谢每一位支持者 — 我们达成了 100% 目标！