CVE-2026-75760 in ash_ai
الملخص
بحسب VulDB • 31/08/2026
ثغرة توليد رسالة خطأ تحتوي على معلومات حساسة في ash-project ash_ai تكشف عن حالة طلب المزود وبيانات الاعتماد (credentials) ضمن خطأ تحقق موجه للمستخدم.
في دالة `AshAi.Changes.Vectorize`، عندما يفشل استدعاء مزوج التضمين (embedding provider)، تمت إضافة خطأ لمجموعة التغييرات (changeset error) whose message تفحص مصطلح الخطأ الخام (`An error occurred while generating embeddings: #{inspect(error)}`). ينتج عن استخدام `add_error` بسلسلة نصية عادية حدوث `Ash.Error.Changes.InvalidChanges` في الفئة `:invalid`، والتي تقوم كل من AshJsonApi و AshGraphql بإرجاعها إلى المتصل. مصطلح الخطأ الخاص بعميل التضمين غير مُطهّر (sanitized)، لذا يمكن أن يحمل عنوان URL للطلب وجسم استجابة المزود، وبالنسبة لعملاء HTTP الذين يحتفظون بالطلب في هيكل الخطأ، فإن رأس التفويض الخارجي (Authorization header) مع مفتاح API للمزود. حالات الفشل قابلة للوصول من قبل المهاجم عبر محتوى متجهي كبير الحجم أو غير صحيح الصيغة. الإصلاح يسجل مصطلح الخطأ الخام ويعيد رسالة عامة.
تؤثر هذه المشكلة على ash_ai: من الإصدار 0.1.0 حتى ما دون 1.0.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.