phoenixframework/phoenix は無事？
はい。
リリースしているものに深刻な問題はありません。
内部：テストやツールに欠陥 5 件。どれもユーザーには届きません。17:02 UTCに確認コミット e36472dアドバイザリ：16:48 UTC時点
ユーザーに関わるもの
プロジェクトがリリースしているものに欠陥 18 件。深刻なものから順に。
ユーザーのデータが漏れたり、乗っ取られたりするおそれ
plug_crypto 2.2.0欠陥 1 件2.2.1 で修正見るべきでないデータを誰かが読めるおそれがあります。 アカウントがある場合のみ。
- EEF-CVE-2026-105963Secret key base exposed in stack trace arguments on wrong-typed Plug.Crypto arguments
postgrex 0.22.3欠陥 1 件0.22.4 で修正見るべきでないデータを誰かが読めるおそれがあります。 マシンにアクセスできる場合のみ。
- EEF-CVE-2026-66838SQL injection via the :comment option in Postgrex.stream/4
cowlib 2.19.0欠陥 3 件使っている人たちを誰かが攻撃できるおそれがあります。 ネット上のどこからでも、アカウント不要。
- EEF-CVE-2026-43971Link Header Directive Smuggling via Unescaped target/rel/Attribute Keys in cow_link:link/1
- EEF-CVE-2026-43966HTTP Response Splitting via Non-VCHAR Bytes in cow_http_struct_hd:escape_string/2
- EEF-CVE-2026-43969Cookie Request Header Injection via Unvalidated Encoder in cow_cookie:cookie/1
phoenix_live_view 1.2.0欠陥 1 件1.2.9 で修正使っている人たちを誰かが攻撃できるおそれがあります。 ネット上のどこからでも、アカウント不要。
- EEF-CVE-2026-64941Open redirect in Phoenix.LiveView.validate_local_url!/2 via ASCII tab, LF and CR
lazy_html 0.1.11欠陥 1 件0.1.13 で修正使っている人たちを誰かが攻撃できるおそれがあります。 ネット上のどこからでも、アカウント不要。
- EEF-CVE-2026-92106lazy_html serializes SVG and MathML style and script text unescaped, allowing mutation XSS
サービスが止まったり遅くなったりするおそれ
bandit 1.12.4欠陥 4 件1.13.0 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- EEF-CVE-2026-105659HTTP/2 blocked-send deadlines reset on every WINDOW_UPDATE, letting a trickle pin stream processes indefinitely in Bandit
- EEF-CVE-2026-74836HTTP/2 connection-window starvation pins Plug processes indefinitely in Bandit
- EEF-CVE-2026-105660Unvalidated HTTP/1 request-target authority lets a client choose conn.host and conn.port in Bandit
- EEF-CVE-2026-75484HTTP/2 header field values containing CR, LF or NUL are passed to the application unvalidated in Bandit
mint 1.9.3欠陥 6 件1.10.2 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- EEF-CVE-2026-82728Unbounded HTTP/1 status-line and chunk-extension buffering in Mint causes memory-exhaustion DoS
- EEF-CVE-2026-82729Quadratic chunk-size parsing in Mint.HTTP1.Parse allows CPU-exhaustion DoS
- EEF-CVE-2026-91043HPACK-indexed cookie fields in Mint HTTP/2 responses bypass max_header_list_size and exhaust client memory
- EEF-CVE-2026-92103Mint HTTP/2 client buffers oversized frames up to 16 MiB before enforcing max_frame_size
- EEF-CVE-2026-82672Unvalidated chunk-size line tail in Mint HTTP/1 client enables response smuggling against strict intermediaries on pooled connections
- EEF-CVE-2026-94194Mint HTTP/1 client applies chunked framing when chunked is not the final transfer coding, enabling response smuggling through intermediaries
decimal 3.1.1欠陥 1 件3.1.2 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 マシンにアクセスできる場合のみ。
- EEF-CVE-2026-97853Unbounded allocation in decimal Decimal.round/3 driven by the places argument enables DoS
内部のみ
開発ツール、テスト、サンプル、ドキュメント、ベンチマーク：ユーザーには届かないので、答えには含めません。
undici 8.11.2欠陥 3 件8.12.2 で修正誰かがデータやファイルを書き換えられるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-f72v-6w45-q472undici vulnerable to Subresource Integrity bypass via non-lowercase algorithm tokens
- GHSA-xjj6-f33q-929cundici vulnerable to Denial of Service via unhandled error on excessive content-encodings
- GHSA-4qv8-2p9j-2685undici vulnerable to Denial of Service via unbounded memory in the EventSource parser
vue-template-compiler 2.7.16欠陥 1 件使っている人たちを誰かが攻撃できるおそれがあります。 アカウントがある場合のみ。
- GHSA-g3ch-rx76-35fxvue-template-compiler vulnerable to client-side Cross-Site Scripting (XSS)
nanoid 3.3.16欠陥 1 件3.3.18 で修正誰かがクラッシュやフリーズを起こせるおそれがあります。 ネット上のどこからでも、アカウント不要。
- GHSA-2v37-7h3g-55p8nanoid: custom generators can loop indefinitely when size is zero
変化があったらメールで知らせる
最初に確認のメールを1通、その後は答えが悪化したときか新たな深刻な欠陥が見つかったときだけ送ります。多くても1日1通、攻撃に使われている場合はすぐに。配信停止はワンクリック。
README にバッジを貼る
この答えを表示し、答えが変わればバッジも変わります。
[](https://istheinternetok.com/r/phoenixframework/phoenix/)installer/mix.lock, integration_test/mix.lock, mix.lock, package-lock.json から読み込みました。