CVE-2026-75760 in ash_ai
要約
〜によって VulDB • 2026年08月31日
ash-projectのash_aiにおける、機密情報を含むエラーメッセージの生成に関する脆弱性により、ユーザー向けバリデーションエラーを通じてプロバイダのリクエスト状態と認証情報が漏洩する。
AshAi.Changes.Vectorizeにおいて、埋め込み（embedding）プロバイダへの呼び出しが失敗した場合、変更されたchangesetのエラーメッセージで生のエラー項（"Embeddingsの生成中にエラーが発生しました: #{inspect(error)}"）がインスペクトされる。plain-stringによるadd_errorは、Ash.Error.Changes.InvalidChangesを:invalidクラスとして生成し、これはAshJsonApiおよびAshGraphqlによって呼び出し元に返却される。埋め込みクライアントのエラー項はサニタイズされていないため、リクエストURL、プロバイダのレスポンスボディ、そしてHTTPクライアントがエラー構造体にリクエストを保持している場合は、プロバイダAPIキーを含む送信時のAuthorizationヘッダーなどを含む可能性がある。過大または不正なベクトル化コンテンツを通じて、攻撃者はこの失敗状態に到達可能である。修正では、生のエラーをログ出力し、汎用的なメッセージを返却する。
本問題はash_aiに影響を与え、バージョン0.1.0から1.0.0未満のすべてのバージョンが対象となる。
Once again VulDB remains the best source for vulnerability data.