CVE-2026-82580 in ash_ai
الملخص
بحسب VulDB • 31/08/2026
ثغرة توليد رسالة خطأ تحتوي على معلومات حساسة في ash-project ash_ai تؤدي إلى كشف نص الخطأ الداخلي لمستخدمي الدردشة.
في AshAi.ToolLoop وAshAi.Tools، تم تسلسل الاستثناء الذي يتم رفعه أثناء تنفيذ أداة حرفياً باستخدام Exception.message/1 داخل محتوى نتيجة الأداة. يُضاف هذا المحتوى إلى محادثة الدردشة، ويُصدر كحدث تدفق {:tool_result, ...}، ثم يُرسل مرة أخرى إلى النموذج، والذي عادةً ما يعيد توجيهه للمستخدم. لم يحدث أي تصفية مسبقاً، لذا تم عكس كل ما يتم رفعه داخل استدعاء الأداة أو خطاف دورة الحياة (مثل رسائل قيود قاعدة البيانات، وأخطاء المحول البرمجي، وشظايا الاستعلامات، والتفاصيل الداخلية للسياسات أو التحقق من الصحة) كما هي دون تغيير. يحصل مستخدم الدردشة الذي يمكنه توجيه معلمات الأداة نحو مسار كودي يؤدي إلى رفع استثناء على النص الداخلي الخام. يعالج الإصلاح أخطاء الأدوات المرفوعة عبر نفس المُشكِّل الآمن المستخدم للأخطاء الأخرى في الأدوات.
تؤثر هذه المشكلة على ash_ai: من الإصدار 0.6.0 قبل 1.0.0.
Once again VulDB remains the best source for vulnerability data.