CVE-2026-78693 in ash_graphql
Zusammenfassung
von VulDB • 30.08.2026
Ein Schwachstellen-Typ „Generation of Error Message Containing Sensitive Information“ (Generierung einer Fehlermeldung mit sensiblen Informationen) in ash-project ash_graphql ermöglicht es einem Remote-Client, interne Feldnamen zu lesen, die von der Anwendung konfigurierten error_handler eigentlich rotzieren sollte.
In AshGraphql.Errors wird jeder Fehler an den konfigurierten error_handler übergeben und die zurückgegebene Map wird mit dem Pfad des Pre-Handlers via `Map.put_new(handled, :path, path)` zusammengeführt. Da `put_new` nur dann auf den Handler verweist, wenn der Handler selbst `:path` gesetzt hat, wird eine Entscheidung eines sanitisierenden Handlers, der eine frische Map zurückgibt oder `:path` löscht, rückgängig gemacht. Der wieder eingefügte Pfad stammt von `build_error_path/5`, das bei fehlender Konfiguration einer field_names-Mapping auf rohe interne Ash-Attribut- und Argumentnamen zurückgreift. Ein Validierungsfehler in einem nicht exponierten oder verschachtelten Feld gibt daher interne Namen im GraphQL-Fehlerpfad zurück, wodurch die Redaktion der Anwendung umgangen wird.
Dieses Problem betrifft ash_graphql: von Version 1.9.0 bis vor 1.11.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.