Zum Inhalt springenistheinternetok

Ist phoenixframework/phoenix in Ordnung?

Ja.

Nichts Ernstes in dem, was es ausliefert.

Intern: 5 Lücken in Tests und Werkzeugen, keine erreicht deine Nutzer.

Geprüft 17:02 UTCCommit e36472dWarnungen, Stand 16:48 UTC

Auf X posten

Betrifft deine Nutzer

18 Lücken in dem, was das Projekt ausliefert, die ernstesten zuerst.

Kann Daten deiner Nutzer preisgeben oder eine Übernahme erlauben

  • plug_crypto 2.2.01 Lückebehoben in 2.2.1Jemand könnte Daten lesen, die er nicht sehen dürfte. Nur mit einem Konto.
    • EEF-CVE-2026-105963Secret key base exposed in stack trace arguments on wrong-typed Plug.Crypto arguments
  • postgrex 0.22.31 Lückebehoben in 0.22.4Jemand könnte Daten lesen, die er nicht sehen dürfte. Nur mit Zugang zum Rechner.
  • cowlib 2.19.03 LückenJemand könnte die Leute angreifen, die es nutzen. Von überall im Internet, ohne Konto.
    • EEF-CVE-2026-43971Link Header Directive Smuggling via Unescaped target/rel/Attribute Keys in cow_link:link/1
    • EEF-CVE-2026-43966HTTP Response Splitting via Non-VCHAR Bytes in cow_http_struct_hd:escape_string/2
    • EEF-CVE-2026-43969Cookie Request Header Injection via Unvalidated Encoder in cow_cookie:cookie/1
  • phoenix_live_view 1.2.01 Lückebehoben in 1.2.9Jemand könnte die Leute angreifen, die es nutzen. Von überall im Internet, ohne Konto.
    • EEF-CVE-2026-64941Open redirect in Phoenix.LiveView.validate_local_url!/2 via ASCII tab, LF and CR
  • lazy_html 0.1.111 Lückebehoben in 0.1.13Jemand könnte die Leute angreifen, die es nutzen. Von überall im Internet, ohne Konto.
    • EEF-CVE-2026-92106lazy_html serializes SVG and MathML style and script text unescaped, allowing mutation XSS

Kann deinen Dienst lahmlegen oder verlangsamen

  • bandit 1.12.44 Lückenbehoben in 1.13.0Jemand könnte es zum Absturz bringen oder einfrieren lassen. Von überall im Internet, ohne Konto.
    • EEF-CVE-2026-105659HTTP/2 blocked-send deadlines reset on every WINDOW_UPDATE, letting a trickle pin stream processes indefinitely in Bandit
    • EEF-CVE-2026-74836HTTP/2 connection-window starvation pins Plug processes indefinitely in Bandit
    • EEF-CVE-2026-105660Unvalidated HTTP/1 request-target authority lets a client choose conn.host and conn.port in Bandit
    • EEF-CVE-2026-75484HTTP/2 header field values containing CR, LF or NUL are passed to the application unvalidated in Bandit
  • mint 1.9.36 Lückenbehoben in 1.10.2Jemand könnte es zum Absturz bringen oder einfrieren lassen. Von überall im Internet, ohne Konto.
    • EEF-CVE-2026-82728Unbounded HTTP/1 status-line and chunk-extension buffering in Mint causes memory-exhaustion DoS
    • EEF-CVE-2026-82729Quadratic chunk-size parsing in Mint.HTTP1.Parse allows CPU-exhaustion DoS
    • EEF-CVE-2026-91043HPACK-indexed cookie fields in Mint HTTP/2 responses bypass max_header_list_size and exhaust client memory
    • EEF-CVE-2026-92103Mint HTTP/2 client buffers oversized frames up to 16 MiB before enforcing max_frame_size
    • EEF-CVE-2026-82672Unvalidated chunk-size line tail in Mint HTTP/1 client enables response smuggling against strict intermediaries on pooled connections
    • EEF-CVE-2026-94194Mint HTTP/1 client applies chunked framing when chunked is not the final transfer coding, enabling response smuggling through intermediaries
  • decimal 3.1.11 Lückebehoben in 3.1.2Jemand könnte es zum Absturz bringen oder einfrieren lassen. Nur mit Zugang zum Rechner.
    • EEF-CVE-2026-97853Unbounded allocation in decimal Decimal.round/3 driven by the places argument enables DoS

Nur intern

Entwicklerwerkzeuge, Tests, Beispiele, Doku und Benchmarks: Sie erreichen deine Nutzer nicht und zählen daher nie in der Antwort.

  • undici 8.11.23 Lückenbehoben in 8.12.2Jemand könnte Daten oder Dateien verändern. Von überall im Internet, ohne Konto.
    • GHSA-f72v-6w45-q472undici vulnerable to Subresource Integrity bypass via non-lowercase algorithm tokens
    • GHSA-xjj6-f33q-929cundici vulnerable to Denial of Service via unhandled error on excessive content-encodings
    • GHSA-4qv8-2p9j-2685undici vulnerable to Denial of Service via unbounded memory in the EventSource parser
  • vue-template-compiler 2.7.161 LückeJemand könnte die Leute angreifen, die es nutzen. Nur mit einem Konto.
  • nanoid 3.3.161 Lückebehoben in 3.3.18Jemand könnte es zum Absturz bringen oder einfrieren lassen. Von überall im Internet, ohne Konto.

Schreib mir, wenn sich das ändert

Eine E-Mail zum Bestätigen, danach nur eine, wenn die Antwort schlechter wird oder eine neue ernste Lücke auftaucht: höchstens eine am Tag, sofort, wenn Angreifer sie nutzen. Abmelden mit einem Klick.

Setz das Badge in deine README

Es zeigt diese Antwort und ändert sich mit ihr.

Ist phoenixframework/phoenix in Ordnung?
[![Ist phoenixframework/phoenix in Ordnung?](https://istheinternetok.com/r/phoenixframework/phoenix/badge.svg)](https://istheinternetok.com/r/phoenixframework/phoenix/)

Gelesen aus installer/mix.lock, integration_test/mix.lock, mix.lock, package-lock.json.