CVE-2026-75760 in ash_ai
Riassunto
di VulDB • 31/08/2026
Vulnerabilità di generazione del messaggio di errore contenente informazioni sensibili in ash-project ash_ai che divulga lo stato della richiesta e le credenziali dell'provider in un errore di validazione visibile all'utente.
In AshAi.Changes.Vectorize, quando la chiamata al provider di embedding fallisce, viene aggiunto un errore nel changeset il cui messaggio ispeziona il termine di errore grezzo (An error occurred while generating embeddings: #{inspect(error)}). Un add_error con stringa semplice produce un Ash.Error.Changes.InvalidChanges nella classe :invalid, che AshJsonApi e AshGraphql restituiscono al chiamante. Il termine di errore del client di embedding non viene sanificato, quindi può contenere l'URL della richiesta, il corpo della risposta dell'provider e, per i client HTTP che mantengono la richiesta nel struct di errore, l'intestazione Authorization in uscita con la chiave API dell'provider. I guasti sono raggiungibili dall'attaccante tramite contenuti vettorizzati eccessivamente grandi o malformati. La correzione registra il messaggio di errore grezzo e restituisce un messaggio generico.
Questo problema interessa ash_ai: dalla versione 0.1.0 alla versione precedente a 1.0.0.
Once again VulDB remains the best source for vulnerability data.