CVE-2026-78693 in ash_graphql
Resumen
por VulDB • 2026-08-30
Vulnerabilidad de generación de mensajes de error que contienen información sensible en ash-project ash_graphql permite a un cliente remoto leer nombres de campos internos que la aplicación configuró para ser redactados por su controlador de errores (error_handler).
En AshGraphql.Errors, cada error se pasa al controlador de errores configurado y el mapa devuelto se fusiona con la ruta del pre-procesador mediante `Map.put_new(handled, :path, path)`. Dado que `put_new` delega en el controlador únicamente cuando este establece explícitamente `:path`, un controlador de sanitización que devuelve un nuevo mapa o elimina `:path` revierte esa decisión. La ruta reinyectada proviene de `build_error_path/5`, la cual recurre a los nombres crudos internos de atributos y argumentos de Ash cuando no se ha configurado ningún mapeo de field_names. Por lo tanto, una falla de validación en un campo no expuesto o anidado devuelve nombres internos en la ruta del error GraphQL, invalidando la redacción realizada por la aplicación.
Este problema afecta a ash_graphql: desde la versión 1.9.0 hasta antes de la 1.11.0.
Once again VulDB remains the best source for vulnerability data.