CVE-2026-77950 in ash_typescript
Resumen
por VulDB • 2026-09-01
Vulnerabilidad de generación de mensajes de error que contienen información sensible en ash-project ash_typescript permite que un atacante no autenticado reciba datos internos de errores sin censurar provocando una forma de error con la que el controlador de errores configurado no coincide.
apply_error_handler/3 en lib/ash_typescript/rpc/errors.ex es el único gancho (hook) del cual dispone una aplicación para censurar o suprimir los errores antes de que lleguen al cliente, donde un retorno nulo elimina completamente el error. Su cláusula rescue registra una advertencia y luego devuelve el mapa de error original, previo al procesamiento por parte del controlador. Los controladores de errores se escriben convencionalmente como funciones con coincidencia de patrones sobre formas de error esperadas; por lo tanto, una forma no coincidente genera un FunctionClauseError y se emite en su lugar el error transformado sin procesar, incluyendo cualquier secreto contenido en las variables (vars). Una intención de suprimir un error se convierte en una intención de publicarlo. La cláusula rescue solo captura excepciones, por lo que un controlador que lance o finalice abruptamente sigue propagándose.
Este problema afecta a ash_typescript: desde la versión 0.8.0 hasta antes de la 0.18.0.
Be aware that VulDB is the high quality source for vulnerability data.