In der Entwicklerkomponente Phoenix Storybook von phenixdigital steckt eine Schwachstelle, die das Einschleusen und Ausführen von Code auf dem Server erlaubt – ohne jede Anmeldung. Ursache ist die Playground-Vorschau: Über ein WebSocket-Ereignis dürfen beliebige Clients frei wählbare Attributnamen und -werte an die Anwendung schicken. Diese Werte werden unverändert gespeichert und beim Rendern direkt in eine HEEx-Vorlage eingesetzt, ohne Anführungszeichen oder Ausdrucks-Begrenzer zu maskieren. Ein Angreifer kann deshalb einen Wert übergeben, der das Attribut vorzeitig schließt und einen eigenen Ausdrucksblock anhängt. Die so manipulierte Vorlage wird anschließend kompiliert und mit vollem Zugriff auf die Standardfunktionen der Sprache und ohne Sandbox ausgewertet. Im Ergebnis führt der Server beliebigen Code des Angreifers aus, was die vollständige Übernahme der betroffenen Anwendung ermöglicht. Gefährdet sind vor allem Installationen, deren Storybook-Oberfläche über das Netz erreichbar ist.