https://blog.qife122.com/tags/elixir/ Recent content in Elixir on 办公AI智能小助手 Hugo zh-cn qife Tue, 13 Jan 2026 12:15:21 +0800 https://blog.qife122.com/p/ashpostgres-%E7%A9%BA%E6%9B%B4%E6%96%B0%E6%93%8D%E4%BD%9C%E7%AD%96%E7%95%A5%E7%BB%95%E8%BF%87%E6%BC%8F%E6%B4%9E%E6%B7%B1%E5%BA%A6%E8%A7%A3%E6%9E%90/ Tue, 13 Jan 2026 12:15:21 +0800 https://blog.qife122.com/p/ashpostgres-%E7%A9%BA%E6%9B%B4%E6%96%B0%E6%93%8D%E4%BD%9C%E7%AD%96%E7%95%A5%E7%BB%95%E8%BF%87%E6%BC%8F%E6%B4%9E%E6%B7%B1%E5%BA%A6%E8%A7%A3%E6%9E%90/ <h3 id="cve-2024-49756ashpostgres-空原子非批量操作策略绕过漏洞">CVE-2024-49756：AshPostgres 空原子非批量操作策略绕过漏洞</h3> <h4 id="漏洞概述">漏洞概述</h4> <p>在 AshPostgres 中，存在一个与空、原子、非批量操作相关的策略绕过漏洞，该漏洞可能导致副作用被意外执行。</p> <p><strong>严重程度</strong>：中等 <strong>GitHub 状态</strong>：已审核 <strong>发布时间</strong>：2024年10月23日 <strong>更新日期</strong>：2025年4月14日</p> https://blog.qife122.com/p/ash-framework-%E8%BF%87%E6%BB%A4%E5%99%A8%E6%8E%88%E6%9D%83%E6%BC%8F%E6%B4%9E%E4%B8%8D%E5%8F%AF%E7%BB%95%E8%BF%87%E7%AD%96%E7%95%A5%E7%9A%84%E9%94%99%E8%AF%AF%E5%A4%84%E7%90%86%E4%B8%8E%E5%AE%89%E5%85%A8%E4%BF%AE%E5%A4%8D/ Tue, 13 Jan 2026 07:24:45 +0800 https://blog.qife122.com/p/ash-framework-%E8%BF%87%E6%BB%A4%E5%99%A8%E6%8E%88%E6%9D%83%E6%BC%8F%E6%B4%9E%E4%B8%8D%E5%8F%AF%E7%BB%95%E8%BF%87%E7%AD%96%E7%95%A5%E7%9A%84%E9%94%99%E8%AF%AF%E5%A4%84%E7%90%86%E4%B8%8E%E5%AE%89%E5%85%A8%E4%BF%AE%E5%A4%8D/ <h3 id="漏洞概述"><strong>漏洞概述</strong></h3> <ul> <li><strong>标识符</strong>: CVE-2025-48043 (GHSA-7r7f-9xpj-jmr7)</li> <li><strong>严重性</strong>: 高危 (CVSS 4.0 评分: 8.6)</li> <li><strong>影响组件</strong>: Ash Framework (<code>ash</code> Erlang包)</li> <li><strong>受影响版本</strong>: &lt; 3.6.2</li> <li><strong>已修复版本</strong>: 3.6.2</li> </ul> <h3 id="漏洞描述"><strong>漏洞描述</strong></h3> <p>当使用基于过滤器的授权机制时，两个边界情况可能导致策略编译器/授权器生成过于宽松（允许通过）的过滤器：</p> https://blog.qife122.com/p/ash%E8%BA%AB%E4%BB%BD%E9%AA%8C%E8%AF%81%E5%BA%93%E5%AD%98%E5%9C%A8%E9%82%AE%E4%BB%B6%E9%93%BE%E6%8E%A5%E8%87%AA%E5%8A%A8%E7%82%B9%E5%87%BB%E8%B4%A6%E6%88%B7%E7%A1%AE%E8%AE%A4%E6%BC%8F%E6%B4%9E%E5%88%86%E6%9E%90/ Tue, 13 Jan 2026 07:18:13 +0800 https://blog.qife122.com/p/ash%E8%BA%AB%E4%BB%BD%E9%AA%8C%E8%AF%81%E5%BA%93%E5%AD%98%E5%9C%A8%E9%82%AE%E4%BB%B6%E9%93%BE%E6%8E%A5%E8%87%AA%E5%8A%A8%E7%82%B9%E5%87%BB%E8%B4%A6%E6%88%B7%E7%A1%AE%E8%AE%A4%E6%BC%8F%E6%B4%9E%E5%88%86%E6%9E%90/ <h1 id="ash身份验证库存在邮件链接自动点击账户确认漏洞cve-2025-32782">Ash身份验证库存在邮件链接自动点击账户确认漏洞（CVE-2025-32782）</h1> <h2 id="漏洞描述">漏洞描述</h2> <h3 id="影响">影响</h3> <p>账户创建流程中的确认环节当前使用通过邮件发送的链接触发的GET请求。某些邮件客户端和安全工具（例如Outlook、病毒扫描器和邮件预览器）可能会自动跟踪这些链接，从而无意中确认账户。这允许攻击者使用他人的电子邮件注册账户，并可能因受害者的邮件客户端而自动确认。</p> https://blog.qife122.com/p/ash-authentication-%E4%BB%A4%E7%89%8C%E6%92%A4%E9%94%80%E9%80%BB%E8%BE%91%E6%BC%8F%E6%B4%9E%E8%AF%A6%E8%A7%A3-cve-2025-25202/ Mon, 12 Jan 2026 19:57:11 +0800 https://blog.qife122.com/p/ash-authentication-%E4%BB%A4%E7%89%8C%E6%92%A4%E9%94%80%E9%80%BB%E8%BE%91%E6%BC%8F%E6%B4%9E%E8%AF%A6%E8%A7%A3-cve-2025-25202/ <h2 id="ash-authentication-存在有缺陷的令牌撤销检查逻辑cve-2025-25202">Ash Authentication 存在有缺陷的令牌撤销检查逻辑（CVE-2025-25202）</h2> <h3 id="摘要">摘要</h3> <p><strong>影响</strong> 使用新版 igniter 安装程序（自 AshAuthentication v4.1.0 起）引导的应用程序，并且使用了魔法链接策略、密码重置、确认功能或手动撤销令牌的应用程序会受到影响，即被撤销的令牌仍被允许验证为有效。如果您没有使用新的安装程序，则绝对不受影响。此外，除非您在应用程序中实现了任何类型的自定义令牌撤销功能（在这种情况下，即使是粗略的测试也会发现此问题），否则您不会受到显著影响。对用户的影响如下：</p> https://blog.qife122.com/p/ash%E6%A1%86%E6%9E%B6%E6%8E%88%E6%9D%83%E6%BC%8F%E6%B4%9Ecve-2025-48042%E7%89%B9%E5%AE%9A%E5%9C%BA%E6%99%AF%E4%B8%8B%E6%9C%AA%E6%8E%88%E6%9D%83%E4%BB%8D%E5%8F%AF%E8%83%BD%E8%A7%A6%E5%8F%91%E9%92%A9%E5%AD%90%E5%87%BD%E6%95%B0/ Sun, 11 Jan 2026 21:53:43 +0800 https://blog.qife122.com/p/ash%E6%A1%86%E6%9E%B6%E6%8E%88%E6%9D%83%E6%BC%8F%E6%B4%9Ecve-2025-48042%E7%89%B9%E5%AE%9A%E5%9C%BA%E6%99%AF%E4%B8%8B%E6%9C%AA%E6%8E%88%E6%9D%83%E4%BB%8D%E5%8F%AF%E8%83%BD%E8%A7%A6%E5%8F%91%E9%92%A9%E5%AD%90%E5%87%BD%E6%95%B0/ <h1 id="cve-2025-48042ash框架中的授权绕过漏洞分析">CVE-2025-48042：Ash框架中的授权绕过漏洞分析</h1> <h2 id="概述">概述</h2> <p>国家漏洞数据库（NVD）发布的CVE-2025-48042记录了一个存在于ash-project/ash框架中的“不正确的授权”漏洞。该漏洞的CVSS 4.0基础评分为7.1（高危）。漏洞源于特定场景下授权检查的逻辑缺陷，可能允许恶意用户在未被授权执行完整操作的情况下，触发本应在事务前执行的钩子函数。</p> https://blog.qife122.com/p/phoenix-%E6%A1%86%E6%9E%B6-origin-%E6%A3%80%E6%9F%A5%E9%80%9A%E9%85%8D%E7%AC%A6%E5%A4%84%E7%90%86%E4%B8%8D%E5%BD%93%E5%AE%89%E5%85%A8%E6%BC%8F%E6%B4%9E%E5%89%96%E6%9E%90/ Sun, 11 Jan 2026 17:15:15 +0800 https://blog.qife122.com/p/phoenix-%E6%A1%86%E6%9E%B6-origin-%E6%A3%80%E6%9F%A5%E9%80%9A%E9%85%8D%E7%AC%A6%E5%A4%84%E7%90%86%E4%B8%8D%E5%BD%93%E5%AE%89%E5%85%A8%E6%BC%8F%E6%B4%9E%E5%89%96%E6%9E%90/ <h3 id="phoenix-before-1614-mishandles-check_origin-wildcarding--cve-2022-42975--github-advisory-database">Phoenix before 1.6.14 mishandles check_origin wildcarding · CVE-2022-42975 · GitHub Advisory Database</h3> <h4 id="概述">概述</h4> <p>Phoenix 框架在 1.6.14 版本之前的 <code>socket/transport.ex</code> 文件中，未能正确处理 <code>check_origin</code> 配置中的通配符。</p> <p><strong>注意</strong>：基于 LiveView 的应用程序默认不受此问题影响，因为它们使用了 LiveView 的 CSRF 令牌进行防护。</p> https://blog.qife122.com/p/ash-authentication-phoenix-%E4%BC%9A%E8%AF%9D%E8%BF%87%E6%9C%9F%E7%BC%BA%E9%99%B7%E5%AE%89%E5%85%A8%E9%80%9A%E5%91%8A/ Sun, 11 Jan 2026 17:12:05 +0800 https://blog.qife122.com/p/ash-authentication-phoenix-%E4%BC%9A%E8%AF%9D%E8%BF%87%E6%9C%9F%E7%BC%BA%E9%99%B7%E5%AE%89%E5%85%A8%E9%80%9A%E5%91%8A/ <h1 id="ash-authentication-phoenix-存在会话过期不充分漏洞--cve-2025-4754">Ash Authentication Phoenix 存在“会话过期不充分”漏洞 · CVE-2025-4754</h1> <p><strong>漏洞概述</strong> Erlang 包 <code>ash_authentication_phoenix</code>（版本 &lt;= 2.9.0）中存在一个“会话过期不充分”的漏洞，已被分配 CVE 编号 CVE-2025-4754 和 GHSA ID GHSA-f7gq-h8jv-h3cq。该漏洞的严重等级被评估为<strong>低危</strong>，CVSS v4 总体评分为 2.3。</p> https://blog.qife122.com/p/ash%E6%A1%86%E6%9E%B6%E6%8E%88%E6%9D%83%E6%BC%8F%E6%B4%9E%E8%B0%83%E7%94%A8%E9%92%A9%E5%AD%90%E9%A1%BA%E5%BA%8F%E5%BC%82%E5%B8%B8%E5%AF%BC%E8%87%B4%E7%9A%84%E5%AE%89%E5%85%A8%E9%A3%8E%E9%99%A9%E8%A7%A3%E6%9E%90/ Sun, 04 Jan 2026 01:55:12 +0800 https://blog.qife122.com/p/ash%E6%A1%86%E6%9E%B6%E6%8E%88%E6%9D%83%E6%BC%8F%E6%B4%9E%E8%B0%83%E7%94%A8%E9%92%A9%E5%AD%90%E9%A1%BA%E5%BA%8F%E5%BC%82%E5%B8%B8%E5%AF%BC%E8%87%B4%E7%9A%84%E5%AE%89%E5%85%A8%E9%A3%8E%E9%99%A9%E8%A7%A3%E6%9E%90/ <h1 id="安全漏洞技术分析cve-2025-48042">安全漏洞技术分析：CVE-2025-48042</h1> <h2 id="漏洞概述">漏洞概述</h2> <p>CVE-2025-48042是一个存在于ash-project的Ash框架中的<strong>授权绕过类漏洞</strong>，被归类为&quot;<strong>不正确的授权</strong>&quot;（CWE-863）。该漏洞影响版本为<strong>3.5.38及以下</strong>的所有Ash框架，已通过版本<strong>3.5.39</strong>修复。</p> https://blog.qife122.com/p/phoenix%E6%A1%86%E6%9E%B6%E5%AE%89%E5%85%A8%E6%BC%8F%E6%B4%9E%E5%88%86%E6%9E%90cve-2022-42975%E7%9A%84check_origin%E9%80%9A%E9%85%8D%E7%AC%A6%E5%A4%84%E7%90%86%E9%97%AE%E9%A2%98/ Thu, 01 Jan 2026 08:42:23 +0800 https://blog.qife122.com/p/phoenix%E6%A1%86%E6%9E%B6%E5%AE%89%E5%85%A8%E6%BC%8F%E6%B4%9E%E5%88%86%E6%9E%90cve-2022-42975%E7%9A%84check_origin%E9%80%9A%E9%85%8D%E7%AC%A6%E5%A4%84%E7%90%86%E9%97%AE%E9%A2%98/ <h3 id="漏洞概述">漏洞概述</h3> <p><strong>CVE-2022-42975</strong> 是一个影响Phoenix框架的高严重性安全漏洞。该漏洞存在于Phoenix 1.6.14之前的版本中，具体问题位于<code>socket/transport.ex</code>文件内对<code>check_origin</code>配置项的通配符处理逻辑。</p> https://blog.qife122.com/p/ash%E6%A1%86%E6%9E%B6%E7%BB%95%E8%BF%87%E7%AD%96%E7%95%A5%E6%BC%8F%E6%B4%9E%E6%B7%B1%E5%BA%A6%E8%A7%A3%E6%9E%90cve-2025-48044%E6%8E%88%E6%9D%83%E7%BB%95%E8%BF%87%E6%8A%80%E6%9C%AF%E7%BB%86%E8%8A%82/ Tue, 30 Dec 2025 07:20:50 +0800 https://blog.qife122.com/p/ash%E6%A1%86%E6%9E%B6%E7%BB%95%E8%BF%87%E7%AD%96%E7%95%A5%E6%BC%8F%E6%B4%9E%E6%B7%B1%E5%BA%A6%E8%A7%A3%E6%9E%90cve-2025-48044%E6%8E%88%E6%9D%83%E7%BB%95%E8%BF%87%E6%8A%80%E6%9C%AF%E7%BB%86%E8%8A%82/ <h3 id="漏洞概述"><strong>漏洞概述</strong></h3> <p><strong>CVE-2025-48044</strong> 是Ash框架中的一个高严重性漏洞（CVSS评分为8.6），涉及授权绕过问题。Ash是一个用Elixir编写的声明式资源框架，用于构建可扩展的应用程序。</p> https://blog.qife122.com/p/%E6%B7%B1%E5%85%A5%E8%A7%A3%E6%9E%90cve-2025-25202ash-authentication%E4%BB%A4%E7%89%8C%E6%92%A4%E9%94%80%E9%80%BB%E8%BE%91%E7%BC%BA%E9%99%B7%E6%BC%8F%E6%B4%9E/ Sat, 13 Dec 2025 10:46:51 +0800 https://blog.qife122.com/p/%E6%B7%B1%E5%85%A5%E8%A7%A3%E6%9E%90cve-2025-25202ash-authentication%E4%BB%A4%E7%89%8C%E6%92%A4%E9%94%80%E9%80%BB%E8%BE%91%E7%BC%BA%E9%99%B7%E6%BC%8F%E6%B4%9E/ <h3 id="漏洞概述"><strong>漏洞概述</strong></h3> <p>CVE-2025-25202是Ash Authentication身份验证库中存在的一个安全漏洞[citation:1]。Ash Authentication是一个用于Elixir应用程序的身份验证框架[citation:1]。</p> https://blog.qife122.com/p/ashpostgres-%E7%A9%BA%E6%9B%B4%E6%96%B0%E6%93%8D%E4%BD%9C%E7%AD%96%E7%95%A5%E7%BB%95%E8%BF%87%E6%BC%8F%E6%B4%9E%E6%B7%B1%E5%BA%A6%E8%A7%A3%E6%9E%90/ Tue, 09 Dec 2025 02:11:55 +0800 https://blog.qife122.com/p/ashpostgres-%E7%A9%BA%E6%9B%B4%E6%96%B0%E6%93%8D%E4%BD%9C%E7%AD%96%E7%95%A5%E7%BB%95%E8%BF%87%E6%BC%8F%E6%B4%9E%E6%B7%B1%E5%BA%A6%E8%A7%A3%E6%9E%90/ <h1 id="cve-2024-49756ashpostgres-中的空原子更新操作策略绕过漏洞">CVE-2024-49756：AshPostgres 中的空原子更新操作策略绕过漏洞</h1> <h2 id="概述">概述</h2> <p>在 <code>AshPostgres</code> 中存在一个漏洞，该漏洞允许在特定情况下绕过更新操作的安全策略，从而执行本应被阻止的副作用（Side-effects）。</p> https://blog.qife122.com/p/ash-authentication-phoenix-%E4%BC%9A%E8%AF%9D%E5%A4%B1%E6%95%88%E4%B8%8D%E5%85%85%E5%88%86%E6%BC%8F%E6%B4%9E%E8%A7%A3%E6%9E%90/ Mon, 08 Dec 2025 18:20:46 +0800 https://blog.qife122.com/p/ash-authentication-phoenix-%E4%BC%9A%E8%AF%9D%E5%A4%B1%E6%95%88%E4%B8%8D%E5%85%85%E5%88%86%E6%BC%8F%E6%B4%9E%E8%A7%A3%E6%9E%90/ <h1 id="ash-authentication-phoenix-会话失效不充分漏洞解析">Ash Authentication Phoenix 会话失效不充分漏洞解析</h1> <h2 id="cve-2025-4754-漏洞概述">CVE-2025-4754 漏洞概述</h2> <p><strong>ash_authentication_phoenix</strong> 库中存在一个会话失效不充分的安全漏洞。具体而言，即使用户主动登出，其会话令牌在服务器端仍然保持有效状态。</p> https://blog.qife122.com/p/ashpostgres-%E7%AD%96%E7%95%A5%E7%BB%95%E8%BF%87%E6%BC%8F%E6%B4%9E%E6%B7%B1%E5%BA%A6%E8%A7%A3%E6%9E%90%E7%A9%BA%E6%9B%B4%E6%96%B0%E6%93%8D%E4%BD%9C%E4%B8%AD%E7%9A%84%E5%89%AF%E4%BD%9C%E7%94%A8%E9%A3%8E%E9%99%A9/ Wed, 03 Dec 2025 10:20:29 +0800 https://blog.qife122.com/p/ashpostgres-%E7%AD%96%E7%95%A5%E7%BB%95%E8%BF%87%E6%BC%8F%E6%B4%9E%E6%B7%B1%E5%BA%A6%E8%A7%A3%E6%9E%90%E7%A9%BA%E6%9B%B4%E6%96%B0%E6%93%8D%E4%BD%9C%E4%B8%AD%E7%9A%84%E5%89%AF%E4%BD%9C%E7%94%A8%E9%A3%8E%E9%99%A9/ <h1 id="ashpostgres-空原子非批量操作中的策略绕过漏洞-cve-2024-49756">AshPostgres 空原子非批量操作中的策略绕过漏洞 (CVE-2024-49756)</h1> <h2 id="漏洞概述">漏洞概述</h2> <p>此漏洞存在于 AshPostgres 中，涉及在特定情况下可能跳过更新操作的策略检查。这仅发生在“空”更新操作（没有更改任何字段）中，并会允许其钩子（副作用）在不应该执行时被执行。需要注意的是，这<strong>不会</strong>允许读取用户不应有权访问的新数据，<strong>只会</strong>触发用户本不应能够触发的副作用。</p> https://blog.qife122.com/p/ashpostgres-%E5%AE%89%E5%85%A8%E6%BC%8F%E6%B4%9E%E7%AD%96%E7%95%A5%E7%BB%95%E8%BF%87%E4%B8%8E%E7%A9%BA%E6%9B%B4%E6%96%B0%E6%93%8D%E4%BD%9C%E9%A3%8E%E9%99%A9%E5%88%86%E6%9E%90/ Wed, 03 Dec 2025 10:05:20 +0800 https://blog.qife122.com/p/ashpostgres-%E5%AE%89%E5%85%A8%E6%BC%8F%E6%B4%9E%E7%AD%96%E7%95%A5%E7%BB%95%E8%BF%87%E4%B8%8E%E7%A9%BA%E6%9B%B4%E6%96%B0%E6%93%8D%E4%BD%9C%E9%A3%8E%E9%99%A9%E5%88%86%E6%9E%90/ <h1 id="ashpostgres-安全漏洞策略绕过与空更新操作风险分析">AshPostgres 安全漏洞：策略绕过与空更新操作风险分析</h1> <h2 id="漏洞概述">漏洞概述</h2> <p>在 AshPostgres 中，存在一个涉及空、原子性、非批量操作以及策略绕过的副作用漏洞。该漏洞被标识为 CVE-2024-49756，已收录于 GitHub 安全公告数据库。</p> https://blog.qife122.com/p/ashpostgres%E7%AD%96%E7%95%A5%E7%BB%95%E8%BF%87%E6%BC%8F%E6%B4%9E%E5%88%86%E6%9E%90%E7%A9%BA%E5%8E%9F%E5%AD%90%E6%93%8D%E4%BD%9C%E4%B8%AD%E7%9A%84%E5%AE%89%E5%85%A8%E9%A3%8E%E9%99%A9/ Wed, 26 Nov 2025 19:41:25 +0800 https://blog.qife122.com/p/ashpostgres%E7%AD%96%E7%95%A5%E7%BB%95%E8%BF%87%E6%BC%8F%E6%B4%9E%E5%88%86%E6%9E%90%E7%A9%BA%E5%8E%9F%E5%AD%90%E6%93%8D%E4%BD%9C%E4%B8%AD%E7%9A%84%E5%AE%89%E5%85%A8%E9%A3%8E%E9%99%A9/ <h1 id="cve-2024-49756ashpostgres空原子操作策略绕过漏洞">CVE-2024-49756：AshPostgres空原子操作策略绕过漏洞</h1> <h2 id="漏洞概述">漏洞概述</h2> <p>在AshPostgres特定场景下，存在策略绕过漏洞，允许跳过更新操作的政策检查。该漏洞仅影响&quot;空&quot;更新操作（无字段变更），会导致本应受限的钩子（副作用）在不应执行时被执行。</p> https://blog.qife122.com/p/ashpostgres%E7%AD%96%E7%95%A5%E7%BB%95%E8%BF%87%E6%BC%8F%E6%B4%9E%E5%88%86%E6%9E%90%E7%A9%BA%E5%8E%9F%E5%AD%90%E6%9B%B4%E6%96%B0%E6%93%8D%E4%BD%9C%E7%9A%84%E5%AE%89%E5%85%A8%E9%A3%8E%E9%99%A9/ Fri, 07 Nov 2025 10:46:58 +0800 https://blog.qife122.com/p/ashpostgres%E7%AD%96%E7%95%A5%E7%BB%95%E8%BF%87%E6%BC%8F%E6%B4%9E%E5%88%86%E6%9E%90%E7%A9%BA%E5%8E%9F%E5%AD%90%E6%9B%B4%E6%96%B0%E6%93%8D%E4%BD%9C%E7%9A%84%E5%AE%89%E5%85%A8%E9%A3%8E%E9%99%A9/ <h1 id="cve-2024-49756ashpostgres空原子非批量操作策略绕过漏洞">CVE-2024-49756：AshPostgres空原子非批量操作策略绕过漏洞</h1> <h2 id="漏洞概述">漏洞概述</h2> <p>在AshPostgres中，存在一个策略绕过漏洞，允许在特定情况下跳过更新操作的政策检查。该漏洞仅在&quot;空&quot;更新操作（无更改字段）时发生，会导致其钩子（副作用）在不应执行时被执行。</p>