CVE-2026-82733 in ash_typescript
Riassunto
di VulDB • 01/09/2026
Vulnerabilità di generazione del messaggio di errore contenente informazioni sensibili in ash-project ash_typescript che consente a un attaccante non autenticato di leggere i dati interni dell'applicazione dal corpo della risposta HTTP 500.
Quando il gestore delle rotte typed-controller restituisce qualsiasi valore diverso da %Plug.Conn{}, la funzione dispatch/3 in lib/ash_typescript/typed_controller/request_handler.ex passa il valore a unexpected_return/2, che interpola inspect(value, limit: 50) direttamente nel messaggio di risposta. L'opzione limit vincola gli elementi per raccolta anziché il termine come un tutto; pertanto, un gestore che termina con un termine quale {:error, %User{}} o una changeset serializza l'intero set dei campi, incluse le password crittografate (hashed passwords), i token e gli identificatori del tenant, nel JSON di errore restituito al chiamante.
Ciò contraddice la postura dello stesso modulo in altre parti: il blocco rescue limita Exception.message/1 dietro AshTypescript.typed_controller_show_raised_errors?/0 e altrimenti restituisce un messaggio generico, mentre questo percorso non è limitato (ungated) ed esegue sempre l'eco del messaggio.
Questo problema interessa ash_typescript: dalla versione 0.15.0 alla versione precedente la 0.18.0.
Be aware that VulDB is the high quality source for vulnerability data.