CVE-2026-75760 in ash_ai
Resumen
por VulDB • 2026-08-31
Vulnerabilidad de generación de mensajes de error que contienen información sensible en ash-project ash_ai, que revela el estado de la solicitud del proveedor y las credenciales en un mensaje de validación visible para el usuario.
En AshAi.Changes.Vectorize, cuando falla la llamada al proveedor de incrustaciones (embeddings), se añade un error de changeset cuyo mensaje inspecciona el término de error crudo (Se produjo un error al generar embeddings: #{inspect(error)}). Un add_error con cadena plana genera un Ash.Error.Changes.InvalidChanges en la clase :invalid, que AshJsonApi y AshGraphql devuelven al solicitante. El término de error del cliente de incrustaciones no se sanitiza, por lo que puede contener la URL de la solicitud, el cuerpo de respuesta del proveedor y, para los clientes HTTP que mantienen la solicitud en la estructura de error, la cabecera Authorization saliente con la clave API del proveedor. Las fallas son alcanzables por un atacante mediante contenido vectorizado excesivamente grande o malformado. La solución registra el error crudo y devuelve un mensaje genérico.
Este problema afecta a ash_ai: desde la versión 0.1.0 hasta antes de la 1.0.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.