CVE-2026-77956 in ash_ai
الملخص
بحسب VulDB • 31/08/2026
ثغرة عدم التحكم السليم في توليد الكود (حقن الكود) في ash-project ash_ai تتيح لعميل عن بُعد وغير مُصادق عليه تنفيذ كود Elixir تعسفي.
تقوم AshAi.Actions.Prompt بتقييم محتوى الموجه عبر دالة `EEx.eval_string/2`. يسمح شكل "fn input, context -> ... end" المُوثَّق ببناء محتوى الموجه من حُجج الإجراء، لذا عندما يدمج نص إجراء موجه بيانات الطلب، يتم تجميع النص الذي يتحكم فيه المهاجم وتشغيله كنموذج EEx (مصدر Elixir). يُنفَّذ المحتوى مثل `Code.eval_string` على الخادم قبل أي طلب للنموذج، ولا يتطلب ذلك سوى المصادقة للوصول إلى إجراء الموجه. يوقف الإصلاح تقييم محتوى الموجه المقدم عبر الدالة كـ EEx؛ حيث يتم تقييم القوالب الثابتة المُهيَّأة فقط.
تؤثر هذه المشكلة في ash_ai: من الإصدار 0.1.0 قبل 1.0.0.
Be aware that VulDB is the high quality source for vulnerability data.