هل phoenixframework/phoenix بخير؟
نعم.
لا شيء خطير فيما ينشره.
داخلي: 5 ثغرات في الاختبارات والأدوات، لا يصل أي منها إلى مستخدميك.تم الفحص 17:02 UTCcommit e36472dالتنبيهات حتى 16:48 UTC
يمس مستخدميك
18 ثغرات فيما ينشره المشروع، الأخطر أولًا.
قد يكشف بيانات مستخدميك أو يتيح لأحدهم السيطرة
plug_crypto 2.2.01 ثغرةتم الإصلاح في 2.2.1قد يقرأ أحدهم بيانات لا ينبغي أن يراها. بحساب فقط.
- EEF-CVE-2026-105963Secret key base exposed in stack trace arguments on wrong-typed Plug.Crypto arguments
postgrex 0.22.31 ثغرةتم الإصلاح في 0.22.4قد يقرأ أحدهم بيانات لا ينبغي أن يراها. بالوصول إلى الجهاز فقط.
- EEF-CVE-2026-66838SQL injection via the :comment option in Postgrex.stream/4
cowlib 2.19.03 ثغراتقد يهاجم أحدهم الأشخاص الذين يستخدمونه. من أي مكان على الإنترنت، دون حساب.
- EEF-CVE-2026-43971Link Header Directive Smuggling via Unescaped target/rel/Attribute Keys in cow_link:link/1
- EEF-CVE-2026-43966HTTP Response Splitting via Non-VCHAR Bytes in cow_http_struct_hd:escape_string/2
- EEF-CVE-2026-43969Cookie Request Header Injection via Unvalidated Encoder in cow_cookie:cookie/1
phoenix_live_view 1.2.01 ثغرةتم الإصلاح في 1.2.9قد يهاجم أحدهم الأشخاص الذين يستخدمونه. من أي مكان على الإنترنت، دون حساب.
- EEF-CVE-2026-64941Open redirect in Phoenix.LiveView.validate_local_url!/2 via ASCII tab, LF and CR
lazy_html 0.1.111 ثغرةتم الإصلاح في 0.1.13قد يهاجم أحدهم الأشخاص الذين يستخدمونه. من أي مكان على الإنترنت، دون حساب.
- EEF-CVE-2026-92106lazy_html serializes SVG and MathML style and script text unescaped, allowing mutation XSS
قد يعطّل خدمتك أو يبطئها
bandit 1.12.44 ثغراتتم الإصلاح في 1.13.0قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- EEF-CVE-2026-105659HTTP/2 blocked-send deadlines reset on every WINDOW_UPDATE, letting a trickle pin stream processes indefinitely in Bandit
- EEF-CVE-2026-74836HTTP/2 connection-window starvation pins Plug processes indefinitely in Bandit
- EEF-CVE-2026-105660Unvalidated HTTP/1 request-target authority lets a client choose conn.host and conn.port in Bandit
- EEF-CVE-2026-75484HTTP/2 header field values containing CR, LF or NUL are passed to the application unvalidated in Bandit
mint 1.9.36 ثغراتتم الإصلاح في 1.10.2قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- EEF-CVE-2026-82728Unbounded HTTP/1 status-line and chunk-extension buffering in Mint causes memory-exhaustion DoS
- EEF-CVE-2026-82729Quadratic chunk-size parsing in Mint.HTTP1.Parse allows CPU-exhaustion DoS
- EEF-CVE-2026-91043HPACK-indexed cookie fields in Mint HTTP/2 responses bypass max_header_list_size and exhaust client memory
- EEF-CVE-2026-92103Mint HTTP/2 client buffers oversized frames up to 16 MiB before enforcing max_frame_size
- EEF-CVE-2026-82672Unvalidated chunk-size line tail in Mint HTTP/1 client enables response smuggling against strict intermediaries on pooled connections
- EEF-CVE-2026-94194Mint HTTP/1 client applies chunked framing when chunked is not the final transfer coding, enabling response smuggling through intermediaries
decimal 3.1.11 ثغرةتم الإصلاح في 3.1.2قد يجعله أحدهم يتعطل أو يتجمد. بالوصول إلى الجهاز فقط.
- EEF-CVE-2026-97853Unbounded allocation in decimal Decimal.round/3 driven by the places argument enables DoS
داخلي فقط
أدوات التطوير والاختبارات والأمثلة والوثائق ومقاييس الأداء: لا تصل إلى مستخدميك، لذا لا تُحتسب أبدًا في الإجابة.
undici 8.11.23 ثغراتتم الإصلاح في 8.12.2قد يغيّر أحدهم بيانات أو ملفات. من أي مكان على الإنترنت، دون حساب.
- GHSA-f72v-6w45-q472undici vulnerable to Subresource Integrity bypass via non-lowercase algorithm tokens
- GHSA-xjj6-f33q-929cundici vulnerable to Denial of Service via unhandled error on excessive content-encodings
- GHSA-4qv8-2p9j-2685undici vulnerable to Denial of Service via unbounded memory in the EventSource parser
vue-template-compiler 2.7.161 ثغرةقد يهاجم أحدهم الأشخاص الذين يستخدمونه. بحساب فقط.
- GHSA-g3ch-rx76-35fxvue-template-compiler vulnerable to client-side Cross-Site Scripting (XSS)
nanoid 3.3.161 ثغرةتم الإصلاح في 3.3.18قد يجعله أحدهم يتعطل أو يتجمد. من أي مكان على الإنترنت، دون حساب.
- GHSA-2v37-7h3g-55p8nanoid: custom generators can loop indefinitely when size is zero
راسلني بالبريد عندما يتغيّر هذا
رسالة واحدة للتأكيد، ثم رسالة فقط عندما تسوء الإجابة أو تظهر ثغرة خطيرة جديدة: رسالة واحدة في اليوم على الأكثر، وفورًا إن كان المهاجمون يستخدمونها. نقرة واحدة لإلغاء الاشتراك.
ضع الشارة في README الخاص بك
تعرض هذه الإجابة وتتغير معها.
[](https://istheinternetok.com/r/phoenixframework/phoenix/)تمت القراءة من installer/mix.lock, integration_test/mix.lock, mix.lock, package-lock.json.