본문으로 건너뛰기istheinternetok

phoenixframework/phoenix 괜찮나요?

네.

배포하는 것에 심각한 문제는 없습니다.

내부: 테스트와 도구에 결함 5개, 어느 것도 사용자에게 닿지 않습니다.

17:02 UTC 확인커밋 e36472d16:48 UTC 기준 보안 권고

X에 게시

사용자에게 닿는 것

프로젝트가 배포하는 것에 결함 18개, 심각한 것부터.

사용자 데이터가 노출되거나 누군가 장악할 수 있음

  • plug_crypto 2.2.0결함 1개2.2.1에서 수정됨누군가 보면 안 되는 데이터를 읽을 수 있습니다. 계정이 있어야만.
    • EEF-CVE-2026-105963Secret key base exposed in stack trace arguments on wrong-typed Plug.Crypto arguments
  • postgrex 0.22.3결함 1개0.22.4에서 수정됨누군가 보면 안 되는 데이터를 읽을 수 있습니다. 기기에 접근할 수 있어야만.
  • cowlib 2.19.0결함 3개누군가 이것을 쓰는 사람들을 공격할 수 있습니다. 인터넷 어디서나, 계정 없이도.
    • EEF-CVE-2026-43971Link Header Directive Smuggling via Unescaped target/rel/Attribute Keys in cow_link:link/1
    • EEF-CVE-2026-43966HTTP Response Splitting via Non-VCHAR Bytes in cow_http_struct_hd:escape_string/2
    • EEF-CVE-2026-43969Cookie Request Header Injection via Unvalidated Encoder in cow_cookie:cookie/1
  • phoenix_live_view 1.2.0결함 1개1.2.9에서 수정됨누군가 이것을 쓰는 사람들을 공격할 수 있습니다. 인터넷 어디서나, 계정 없이도.
    • EEF-CVE-2026-64941Open redirect in Phoenix.LiveView.validate_local_url!/2 via ASCII tab, LF and CR
  • lazy_html 0.1.11결함 1개0.1.13에서 수정됨누군가 이것을 쓰는 사람들을 공격할 수 있습니다. 인터넷 어디서나, 계정 없이도.
    • EEF-CVE-2026-92106lazy_html serializes SVG and MathML style and script text unescaped, allowing mutation XSS

서비스가 멈추거나 느려질 수 있음

  • bandit 1.12.4결함 4개1.13.0에서 수정됨누군가 이것을 다운시키거나 멈추게 할 수 있습니다. 인터넷 어디서나, 계정 없이도.
    • EEF-CVE-2026-105659HTTP/2 blocked-send deadlines reset on every WINDOW_UPDATE, letting a trickle pin stream processes indefinitely in Bandit
    • EEF-CVE-2026-74836HTTP/2 connection-window starvation pins Plug processes indefinitely in Bandit
    • EEF-CVE-2026-105660Unvalidated HTTP/1 request-target authority lets a client choose conn.host and conn.port in Bandit
    • EEF-CVE-2026-75484HTTP/2 header field values containing CR, LF or NUL are passed to the application unvalidated in Bandit
  • mint 1.9.3결함 6개1.10.2에서 수정됨누군가 이것을 다운시키거나 멈추게 할 수 있습니다. 인터넷 어디서나, 계정 없이도.
    • EEF-CVE-2026-82728Unbounded HTTP/1 status-line and chunk-extension buffering in Mint causes memory-exhaustion DoS
    • EEF-CVE-2026-82729Quadratic chunk-size parsing in Mint.HTTP1.Parse allows CPU-exhaustion DoS
    • EEF-CVE-2026-91043HPACK-indexed cookie fields in Mint HTTP/2 responses bypass max_header_list_size and exhaust client memory
    • EEF-CVE-2026-92103Mint HTTP/2 client buffers oversized frames up to 16 MiB before enforcing max_frame_size
    • EEF-CVE-2026-82672Unvalidated chunk-size line tail in Mint HTTP/1 client enables response smuggling against strict intermediaries on pooled connections
    • EEF-CVE-2026-94194Mint HTTP/1 client applies chunked framing when chunked is not the final transfer coding, enabling response smuggling through intermediaries
  • decimal 3.1.1결함 1개3.1.2에서 수정됨누군가 이것을 다운시키거나 멈추게 할 수 있습니다. 기기에 접근할 수 있어야만.
    • EEF-CVE-2026-97853Unbounded allocation in decimal Decimal.round/3 driven by the places argument enables DoS

내부 전용

개발 도구, 테스트, 예제, 문서, 벤치마크: 사용자에게 닿지 않으므로 답에는 넣지 않습니다.

  • undici 8.11.2결함 3개8.12.2에서 수정됨누군가 데이터나 파일을 바꿀 수 있습니다. 인터넷 어디서나, 계정 없이도.
    • GHSA-f72v-6w45-q472undici vulnerable to Subresource Integrity bypass via non-lowercase algorithm tokens
    • GHSA-xjj6-f33q-929cundici vulnerable to Denial of Service via unhandled error on excessive content-encodings
    • GHSA-4qv8-2p9j-2685undici vulnerable to Denial of Service via unbounded memory in the EventSource parser
  • vue-template-compiler 2.7.16결함 1개누군가 이것을 쓰는 사람들을 공격할 수 있습니다. 계정이 있어야만.
  • nanoid 3.3.16결함 1개3.3.18에서 수정됨누군가 이것을 다운시키거나 멈추게 할 수 있습니다. 인터넷 어디서나, 계정 없이도.

바뀌면 이메일로 알려 주세요

확인용 이메일 한 통을 보낸 뒤, 답이 나빠지거나 새로운 심각한 결함이 생길 때만 보냅니다. 하루에 많아야 한 통, 공격에 쓰이고 있으면 바로 보냅니다. 수신 거부는 클릭 한 번.

README에 배지 넣기

이 답을 보여 주고, 답이 바뀌면 함께 바뀝니다.

phoenixframework/phoenix 괜찮나요?
[![phoenixframework/phoenix 괜찮나요?](https://istheinternetok.com/r/phoenixframework/phoenix/badge.svg)](https://istheinternetok.com/r/phoenixframework/phoenix/)

읽은 파일: installer/mix.lock, integration_test/mix.lock, mix.lock, package-lock.json.