CVE-2026-77950 in ash_typescript
Riassunto
di VulDB • 01/09/2026
Vulnerabilità di generazione del messaggio di errore contenente informazioni sensibili in ash-project ash_typescript consente ad un attaccante non autenticato di ricevere dati interni di errore non oscurati provocando una forma dell'errore che il gestore degli errori configurato non corrisponde.
apply_error_handler/3 in lib/ash_typescript/rpc/errors.ex è l'unica hook disponibile per le applicazioni per oscurare o sopprimere gli errori prima che raggiungano il client, con un ritorno nil che elimina completamente l'errore. La sua clausola rescue registra un warning e poi restituisce la mappa dell'errore originale, pre-gestore. I gestori degli errori sono convenzionalmente scritti come funzioni di pattern-matching su forme di errore attese, quindi una forma non corrispondente solleva FunctionClauseError e l'errore trasformato grezzo, inclusi eventuali segreti contenuti in vars, viene emesso invece. Un'intenzione di sopprimere un errore diventa un'intenzione di pubblicarlo. Il rescue cattura solo eccezioni, quindi un handler che lancia o esce ancora si propaga.
Questo problema interessa ash_typescript: dalla versione 0.8.0 alla 0.18.0 (esclusa).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.