Aller au contenuistheinternetok

phoenixframework/phoenix va bien ?

Oui.

Rien de grave dans ce qu'il livre.

Interne : 5 failles dans les tests et les outils, aucune n'atteint tes utilisateurs.

Vérifié 16:48 UTCcommit e36472dalertes à jour : 16:48 UTC

Poster sur X

Touche tes utilisateurs

18 failles dans ce que le projet livre, les plus graves d'abord.

Peut exposer les données de tes utilisateurs ou permettre une prise de contrôle

  • plug_crypto 2.2.01 faillecorrigé dans 2.2.1Quelqu'un pourrait lire des données qu'il ne devrait pas voir. Seulement avec un compte.
    • EEF-CVE-2026-105963Secret key base exposed in stack trace arguments on wrong-typed Plug.Crypto arguments
  • postgrex 0.22.31 faillecorrigé dans 0.22.4Quelqu'un pourrait lire des données qu'il ne devrait pas voir. Seulement avec un accès à la machine.
  • cowlib 2.19.03 faillesQuelqu'un pourrait attaquer les gens qui l'utilisent. Depuis n'importe où sur Internet, sans compte.
    • EEF-CVE-2026-43971Link Header Directive Smuggling via Unescaped target/rel/Attribute Keys in cow_link:link/1
    • EEF-CVE-2026-43966HTTP Response Splitting via Non-VCHAR Bytes in cow_http_struct_hd:escape_string/2
    • EEF-CVE-2026-43969Cookie Request Header Injection via Unvalidated Encoder in cow_cookie:cookie/1
  • phoenix_live_view 1.2.01 faillecorrigé dans 1.2.9Quelqu'un pourrait attaquer les gens qui l'utilisent. Depuis n'importe où sur Internet, sans compte.
    • EEF-CVE-2026-64941Open redirect in Phoenix.LiveView.validate_local_url!/2 via ASCII tab, LF and CR
  • lazy_html 0.1.111 faillecorrigé dans 0.1.13Quelqu'un pourrait attaquer les gens qui l'utilisent. Depuis n'importe où sur Internet, sans compte.
    • EEF-CVE-2026-92106lazy_html serializes SVG and MathML style and script text unescaped, allowing mutation XSS

Peut casser ou ralentir ton service

  • bandit 1.12.44 faillescorrigé dans 1.13.0Quelqu'un pourrait le faire planter ou le figer. Depuis n'importe où sur Internet, sans compte.
    • EEF-CVE-2026-105659HTTP/2 blocked-send deadlines reset on every WINDOW_UPDATE, letting a trickle pin stream processes indefinitely in Bandit
    • EEF-CVE-2026-74836HTTP/2 connection-window starvation pins Plug processes indefinitely in Bandit
    • EEF-CVE-2026-105660Unvalidated HTTP/1 request-target authority lets a client choose conn.host and conn.port in Bandit
    • EEF-CVE-2026-75484HTTP/2 header field values containing CR, LF or NUL are passed to the application unvalidated in Bandit
  • mint 1.9.36 faillescorrigé dans 1.10.2Quelqu'un pourrait le faire planter ou le figer. Depuis n'importe où sur Internet, sans compte.
    • EEF-CVE-2026-82728Unbounded HTTP/1 status-line and chunk-extension buffering in Mint causes memory-exhaustion DoS
    • EEF-CVE-2026-82729Quadratic chunk-size parsing in Mint.HTTP1.Parse allows CPU-exhaustion DoS
    • EEF-CVE-2026-91043HPACK-indexed cookie fields in Mint HTTP/2 responses bypass max_header_list_size and exhaust client memory
    • EEF-CVE-2026-92103Mint HTTP/2 client buffers oversized frames up to 16 MiB before enforcing max_frame_size
    • EEF-CVE-2026-82672Unvalidated chunk-size line tail in Mint HTTP/1 client enables response smuggling against strict intermediaries on pooled connections
    • EEF-CVE-2026-94194Mint HTTP/1 client applies chunked framing when chunked is not the final transfer coding, enabling response smuggling through intermediaries
  • decimal 3.1.11 faillecorrigé dans 3.1.2Quelqu'un pourrait le faire planter ou le figer. Seulement avec un accès à la machine.
    • EEF-CVE-2026-97853Unbounded allocation in decimal Decimal.round/3 driven by the places argument enables DoS

Interne seulement

Outils de dev, tests, exemples, docs et benchmarks : ils n'atteignent pas tes utilisateurs, donc ne comptent jamais dans la réponse.

  • undici 8.11.23 faillescorrigé dans 8.12.2Quelqu'un pourrait modifier des données ou des fichiers. Depuis n'importe où sur Internet, sans compte.
    • GHSA-f72v-6w45-q472undici vulnerable to Subresource Integrity bypass via non-lowercase algorithm tokens
    • GHSA-xjj6-f33q-929cundici vulnerable to Denial of Service via unhandled error on excessive content-encodings
    • GHSA-4qv8-2p9j-2685undici vulnerable to Denial of Service via unbounded memory in the EventSource parser
  • vue-template-compiler 2.7.161 failleQuelqu'un pourrait attaquer les gens qui l'utilisent. Seulement avec un compte.
  • nanoid 3.3.161 faillecorrigé dans 3.3.18Quelqu'un pourrait le faire planter ou le figer. Depuis n'importe où sur Internet, sans compte.

Préviens-moi par email quand ça change

Un email pour confirmer, puis un seul quand la réponse empire ou qu'une nouvelle faille sérieuse apparaît : au plus un par jour, tout de suite si des attaquants l'utilisent. Un clic pour se désabonner.

Mets le badge dans ton README

Il affiche cette réponse et change avec elle.

phoenixframework/phoenix va bien ?
[![phoenixframework/phoenix va bien ?](https://istheinternetok.com/r/phoenixframework/phoenix/badge.svg)](https://istheinternetok.com/r/phoenixframework/phoenix/)

Lu dans installer/mix.lock, integration_test/mix.lock, mix.lock, package-lock.json.