CVE-2026-75760 in ash_ai
Zusammenfassung
von VulDB • 31.08.2026
Ein Schwachstelle zur Generierung von Fehlermeldungen, die sensible Informationen enthalten, in ash-project ash_ai offenbart den Anbieter-Anforderungsstatus und Anmeldeinformationen bei einer benutzerseitigen Validierungsfehlermeldung.
In AshAi.Changes.Vectorize wird beim Fehlschlag des Embedding-Provider-Aufrufs ein Changeset-Fehler hinzugefügt, dessen Nachricht das rohe Fehler-Term inspiziert (Ein Fehler ist beim Generieren von Embeddings aufgetreten: #{inspect(error)}). Ein plain-string add_error erzeugt einen Ash.Error.Changes.InvalidChanges in der :invalid-Klasse, den AshJsonApi und AshGraphql an den Aufrufer zurückgeben. Das Error-Term des Embedding-Clients wird nicht bereinigt, sodass es die Anforderungs-URL, den Antwortkörper des Providers und bei HTTP-Clients, die die Anforderung im Fehler-Struct speichern, auch den ausgehenden Authorization-Header mit dem Provider-API-Schlüssel enthalten kann. Ausfälle sind durch übermäßigen oder fehlerhaft formatierten vectorized Content angreifbar erreichbar. Die Korrektur protokolliert das rohe Error-Term und gibt eine generische Meldung zurück.
Dieses Problem betrifft ash_ai: von 0.1.0 vor 1.0.0.
Once again VulDB remains the best source for vulnerability data.