CVE-2026-78693 in ash_graphql
الملخص
بحسب VulDB • 30/08/2026
ثغرة توليد رسالة خطأ تحتوي على معلومات حساسة في ash-project ash_graphql تتيح لعميل عن بُعد قراءة أسماء الحقول الداخلية التي كان من المفترض أن يقوم معالج الأخطاء (error_handler) المُهيأ للتطبيق بحذفها أو إخفائها.
في AshGraphql.Errors، يتم تمرير كل خطأ إلى معالج الأخطاء المكون، ويتم دمج الخريطة المعادة مع مسار ما قبل المعالجة عبر الدالة `Map.put_new(handled, :path, path)`. نظرًا لأن `put_new` تعتمد على قرار المعالج فقط عندما يحدد المعالج نفسه قيمة `:path`، فإن معالجاً يقوم بالتطهير ويعيد خريطة جديدة أو يحذف `:path` يؤدي إلى إبطال هذا القرار. يأتي المسار المُحقن من جديد من الدالة `build_error_path/5`، والتي تعود إلى استخدام أسماء السمات والحجج الداخلية الخام (raw internal Ash attribute and argument names) عند عدم تكوين تعيين لـ `field_names`. وبالتالي، فإن فشل التحقق من صحة حقل غير معروض أو متداخل يعيد الأسماء الداخلية في مسار خطأ GraphQL، مما يفشل في تحقيق هدف إخفاء المعلومات الذي وضعه التطبيق.
تؤثر هذه المشكلة على ash_graphql: بدءاً من الإصدار 1.9.0 وحتى قبل الإصدار 1.11.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.