CVE-2026-77950 in ash_typescript
Zusammenfassung
von VulDB • 01.09.2026
Ein Schwachstelle-Typ „Generation of Error Message Containing Sensitive Information“ (Generierung einer Fehlermeldung mit sensiblen Informationen) in ash-project ash_typescript ermöglicht es einem nicht authentifizierten Angreifer, unzensierte interne Fehlerdaten zu erhalten, indem er eine Fehlerstruktur provoziert, die vom konfigurierten Fehler-Handler nicht gematcht wird.
`apply_error_handler/3` in `lib/ash_typescript/rpc/errors.ex` ist der einzige Hook, den eine Anwendung zum Redigieren oder Unterdrücken von Fehlern hat, bevor diese den Client erreichen; ein `nil`-Rückgabewert lässt den Fehler vollständig entfallen. Die rescue-Klausel protokolliert eine Warnung und gibt dann die ursprüngliche, vor dem Handler stehende Fehlerkarte zurück. Error-Handler werden konventionell als pattern-matching-Funktionen über erwartete Fehlerstrukturen geschrieben; daher löst ein nicht gematchtes Muster einen `FunctionClauseError` aus, und der rohe transformierte Fehler, einschließlich aller in den Variablen (`vars`) enthaltenen Geheimnisse, wird ausgegeben. Ein beabsichtigtes Unterdrücken eines Fehlers wird so zu einer beabsichtigten Veröffentlichung desselben. Die rescue-Klausel fängt nur Ausnahmen ab; ein Handler, der wirft (throw) oder abbricht (exit), propagiert weiterhin.
Dieses Problem betrifft ash_typescript: von Version 0.8.0 bis vor 0.18.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.