CVE-2026-82733 in ash_typescript
الملخص
بحسب VulDB • 01/09/2026
تتيح ثغرة "إنشاء رسالة خطأ تحتوي على معلومات حساسة" في ash-project ash-typescript لمهاجم غير مُصادق عليه قراءة بيانات التطبيق الداخلية من جسم استجابة HTTP 500.
عندما يُرجع معالج مسار typed-controller أي شيء آخر باستثناء %Plug.Conn{}، يقوم dispatch/3 الموجود في lib/ash_typescript/typed_controller/request_handler.ex بتمرير القيمة إلى unexpected_return/2، والتي تقوم بتضمين (interpolates) نتيجة inspect(value, limit: 50) مباشرةً داخل رسالة الاستجابة. ولا تحدد خيار الحد (limit) عدد العناصر لكل مجموعة فحسب، بل لا يقيّد المصطلح ككل؛ لذا فإن المعالج الذي ينتقل إلى حالة أخرى مع مصطلح مثل {:error, %User{}} أو changeset يقوم بتسلسل حقله الكامل، بما في ذلك كلمات المرور المشفرة والرموز (tokens) ومعرفات المستأجرين (tenant identifiers)، داخل خطأ JSON المُعاد للمُتصل.
يتعارض هذا الأمر مع الموقف الذي تتبناه الوحدة النمطية نفسها في أماكن أخرى: حيث تشترط جملة الاسترداد (rescue clause) استخدام AshTypescript.typed_controller_show_raised_errors?/0 خلف Exception.message/1، وتُرجع بخلاف ذلك رسالة عامة؛ بينما هذه المسار غير مقيد ويؤدي دائماً إلى عرض الرسالة.
تؤثر هذه المشكلة في ash_typescript: من الإصدار 0.15.0 قبل 0.18.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.