CVE-2026-8467: phoenix_storybook: injeção de código não autenticada (RCE) via template HEEx no playground
A CVE-2026-8467 é uma falha crítica de injeção de código (CWE-94) no phoenix_storybook da Phenixdigital que permite execução remota de código sem autenticação, por meio de valores de atributos não sanitizados na geração de templates HEEx. O registro informa pontuação CVSS 4.0 base 9.5 do CNA e afeta versões a partir de 0.5.0 até antes de 1.1.0, havendo um commit de correção referenciado. Não há exploração confirmada no mundo real nas fontes consultadas; a atualização para 1.1.0 ou superior é a principal medida de remediação.
Visão geral
A CVE-2026-8467 afeta a biblioteca de documentação de componentes phoenix_storybook, da Phenixdigital. Segundo o registro, o manipulador WebSocket da pré-visualização do playground aceita nomes e valores de atributos de clientes não autenticados e os insere em um template HEEx sem escape. A falha é classificada como injeção de código (CWE-94).
Impacto
O registro afirma que a falha permite execução remota de código no servidor sem autenticação, e o CNA a classifica como crítica. O vetor CVSS 4.0 indica vetor de rede, baixa complexidade, ausência de privilégios e de interação do usuário, com alto impacto na confidencialidade, integridade e disponibilidade do sistema vulnerável e de sistemas subsequentes. Os dados SSVC informam impacto técnico total e automatizável.
Produtos e versões afetadas
O registro lista o Phenixdigital Phoenix Storybook com duas faixas: versões a partir de 0.5.0 até antes de 1.1.0, e uma faixa baseada em commits, de e35379dfe2ef1a71b141899e36f431017c55265d até antes de 56ab8464d4375fa52db806148a06cce126ad481d.
- Faixa por versão: de 0.5.0 até, sem incluir, 1.1.0.
- Faixa por commit, conforme listada no registro.
O registro não traz campo separado de versão corrigida. O commit 56ab8464d4375fa52db806148a06cce126ad481d é o limite superior da faixa por commit, e a versão 1.1.0 é o limite superior da faixa por versão.
Status de exploração
A falha não consta na lista KEV da CISA no registro. Não há exploração confirmada no mundo real nas fontes consultadas. O campo de exploração SSVC está registrado como poc, o que indica disponibilidade de prova de conceito informada no registro, e não ataques confirmados. A probabilidade EPSS é 0,02059, com percentil 0,80817.
Remediação e mitigação
- Atualize o phoenix_storybook para a versão 1.1.0 ou superior, que é o limite indicado no registro.
- Revise o aviso do fornecedor GHSA-55hg-8qxv-qj4p e o commit referenciado para entender a alteração.
- Enquanto a atualização não for possível, restrinja o acesso de rede aos endpoints de desenvolvimento e playground, de modo que clientes não confiáveis não alcancem a interface WebSocket, e evite expor ferramentas do storybook em ambientes de produção ou acessíveis pela internet.
- Não confie apenas em desativar o playground como controle, sem confirmar a configuração implantada.
Orientação para detecção
- Faça o inventário dos projetos que usam phoenix_storybook e registre a versão travada.
- Revise logs do servidor web e da aplicação em busca de tráfego WebSocket inesperado para a pré-visualização do playground vindo de origens desconhecidas.
- Procure erros inesperados de template ou compilação na renderização do storybook, o que pode indicar entrada de atributos malformada.
Limitações das informações disponíveis
- O registro não traz campo separado de versão corrigida; o limite da correção é inferido a partir da faixa de versões e do commit referenciado.
- Não é possível saber, pelo registro, se uma implantação expõe o playground publicamente.
- Não se sabe se houve exploração na prática; nenhuma exploração confirmada aparece nas fontes consultadas.
- O vetor CVSS 4.0 do registro define muitas métricas ambientais e de ameaça como X (não definido), portanto a pontuação base se aplica sem ajuste ambiental.
Perguntas frequentes
A CVE-2026-8467 está sendo explorada ativamente?
A falha não consta na lista KEV da CISA no registro, e não há exploração confirmada no mundo real nas fontes consultadas. O campo de exploração SSVC está registrado como poc.
Quais versões do phoenix_storybook são afetadas?
O registro lista versões a partir de 0.5.0 até antes de 1.1.0, além de uma faixa por commit terminando no commit 56ab8464d4375fa52db806148a06cce126ad481d.
O que devo fazer primeiro?
Atualize o phoenix_storybook para 1.1.0 ou superior e limite a exposição de rede do playground e das ferramentas de desenvolvimento até concluir a atualização.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.