CVE-2026-75760 in ash_ai
Résumé
par VulDB • 31/08/2026
Vulnérabilité de génération d'un message d'erreur contenant des informations sensibles dans ash-project ash_ai, qui divulgue l'état de la requête du fournisseur et les identifiants lors d'une erreur de validation visible par l'utilisateur.
Dans AshAi.Changes.Vectorize, lorsque l'appel au fournisseur d'intégrations (embedding) échoue, le changement ajoute une erreur changeset dont le message inspecte le terme d'erreur brut (« Une erreur s'est produite lors de la génération des intégrations : #{inspect(error)} »). Un add_error avec une chaîne simple génère un Ash.Error.Changes.InvalidChanges dans la classe :invalid, qui est renvoyé au client par AshJsonApi et AshGraphql. Le terme d'erreur du client d'intégration n'est pas assaini ; il peut donc contenir l'URL de la requête, le corps de la réponse du fournisseur et, pour les clients HTTP conservant la requête dans la structure d'erreur, l'en-tête Authorization sortant avec la clé API du fournisseur. Les échecs sont exploitables par un attaquant via des contenus vectorisés surdimensionnés ou malformés. La correction consigne le terme d'erreur brut et renvoie un message générique.
Cette vulnérabilité affecte ash_ai : de la version 0.1.0 à avant la version 1.0.0.
Once again VulDB remains the best source for vulnerability data.