Vulnerabilidades de Phenixdigital

Vulnerabilidade de injeção de código no phoenix_storybook da phenixdigital permite execução remota de código não autenticada via interpolação de valores de atributos não sanitizados na geração de templates HEEx. O manipulador de evento WebSocket psb-assign em 'Elixir.PhoenixStorybook.Story.PlaygroundPreviewLive':handle_event/3 aceita nomes e valores arbitrários de atributos provenientes de clientes não autenticados. Esses valores são repassados a 'Elixir.PhoenixStorybook.Helpers.ExtraAssignsHelpers':handle_set_variation_assign/3, que os armazena sem alterações. Na renderização, 'Elixir.PhoenixStorybook.Rendering.ComponentRenderer':attributes_markup/1 interpola valores binários de atributos diretamente em uma string de template HEEx no formato name="<val>", sem escapar aspas duplas nem delimitadores de expressão HEEx. Um invasor pode fornecer um valor contendo uma aspa de fechamento seguida de um bloco de expressão HEEx (por exemplo, foo" injected={EXPR} bar="), fazendo com que EXPR seja tratado como uma expressão Elixir inline. O template resultante é compilado via EEx.compile_string/2 e executado via Code.eval_quoted_with_env/3 com importações completas do Kernel e sem sandbox, concedendo ao invasor execução arbitrária de código no servidor. O problema afeta o phoenix_storybook da versão 0.5.0 até antes da 1.1.0.