CVE-2026-77950 in ash_typescript
Résumé
par VulDB • 01/09/2026
Vulnérabilité de génération d'un message d'erreur contenant des informations sensibles dans ash-project ash_typescript permettant à un attaquant non authentifié de recevoir des données d'erreur internes non masquées en provoquant une forme d'erreur que le gestionnaire d'erreurs configuré ne correspond pas.
La fonction `apply_error_handler/3` située dans `lib/ash_typescript/rpc/errors.ex` est la seule interface (hook) dont dispose une application pour masquer ou supprimer les erreurs avant qu'elles n'atteignent le client, un retour de valeur `nil` supprimant l'erreur entièrement. Sa clause `rescue` consigne un avertissement puis renvoie la carte d'erreur originale, antérieure au gestionnaire. Les gestionnaires d'erreurs sont conventionnellement écrits sous forme de fonctions à correspondance de motifs (pattern-matching) sur des formes d'erreurs attendues ; ainsi, une forme non appariée lève une `FunctionClauseError` et la transformation brute de l'erreur, y compris les secrets contenus dans les variables (`vars`), est émise. Une intention de supprimer une erreur devient alors une intention de la publier. Le bloc `rescue` ne capture que les exceptions ; un gestionnaire qui utilise `throw` ou `exit` se propage donc toujours.
Cette vulnérabilité affecte ash_typescript : des versions 0.8.0 jusqu'à (mais non incluses) 0.18.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.