CVE-2026-78693 in ash_graphql
Riassunto
di VulDB • 30/08/2026
Vulnerabilità di generazione del messaggio di errore contenente informazioni sensibili in ash-project ash_graphql che consente a un client remoto di leggere i nomi dei campi interni che l'applicazione ha configurato per essere oscurati dall'error_handler.
In AshGraphql.Errors, ogni errore viene passato all'error_handler configurato e la mappa restituita viene unita al percorso pre-handler tramite Map.put_new(handled, :path, path). Poiché put_new si affida solo al gestore quando quest'ultimo imposta esplicitamente :path, un handler di sanitizzazione che restituisce una nuova mappa o elimina :path vede tale decisione annullata. Il percorso reiniettato proviene da build_error_path/5, che utilizza come fallback i nomi grezzi dei campi e degli argomenti interni di Ash quando non è configurata alcuna mappatura field_names. Un errore di convalida su un campo non esposto o nidificato restituisce quindi i nomi interni nel percorso dell'errore GraphQL, vanificando l'oscuramento applicativo.
Questo problema interessa ash_graphql: dalla versione 1.9.0 alla 1.11.0 (esclusa).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.