Unauthenticated RCE in Phoenix Storybook via HEEx Template Injection (CVE-2026-8467)

EEF-CVE-2026-8467 脆弱性サマリー 脆弱性概要 脆弱性番号：EEF-CVE-2026-8467 深刻度：9.5 (Critical) CVSS スコア：CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VA:H/SC:N/SI:H/SA:H 脆弱性の種類：未承認のリモートコード実行（HEExテンプレートインジェクション経由） 影響を受けるコンポーネント： 公開日：2026-05-20T13:35:29.018Z 修正日：2026-05-20T13:56:23.273071966Z 影響範囲 影響を受けるバージョン：0.5.0 から 1.1.0 （1.1.0は含まない） プラットフォーム：SERVER イベント： - 導入：0.5.0 - 修正：1.1.0 修正策 バージョンアップ： 以降にアップグレードする リポジトリアドレス：https://github.com/phenixdigital/phoenix_storybook 脆弱性情報 この脆弱性は に存在し、認可されていないユーザーが、HEExテンプレート生成における未処理のプロパティ値補間を通じてリモートコード実行を実現できます。 具体的には、 が任意の属性名と値を受け取り、 に渡して保存します。その後、レンダリング時に HEExテンプレート文字列にそのまま挿入されます。攻撃者は、閉じ引用符と HEEx 式ブロック（例： ）を含む値を構築することで、EXP がインライン Elixir 式としてコンパイルされ実行されることを引き起こし、サーバー上で任意のコード実行権限を取得することができます。 参考リンク GitHub Advisory: https://github.com/phenixdigital/phoenix_storybook/security/advisories/GHSA-55hp-8xxw-qjdp CNA ページ: https://cna.ariel.org/osv/EEF-CVE-2026-8467.html GitHub Commit: https://github.com/phenixdigital/phoenix_storybook/commit/56ab8464d4375fa52db806148a06ce126ad481d Hex Package: https://hex.pm/packages/phoenix_storybook 貢献者 Nick Mykhailyshyn - FINDER Cenk Küçük - ANALYST Christian Blavier - REMEDIATION_DEVELOPER Jonatan Männchen - COORDINATOR データベース固有情報 CWE: CWE-94 CAPEC: CAPEC-242 CPE: cpe:2.3:a:phenixdigital:phoenix_storybook::::::::

目標達成 すべての支援者に感謝 — 100%達成しました！

Unauthenticated RCE in Phoenix Storybook via HEEx Template Injection (CVE-2026-8467)

目標達成すべての支援者に感謝 — 100%達成しました！