CVE-2026-78693 in ash_graphql
要約
〜によって VulDB • 2026年08月30日
ash-project ash_graphqlにおける、機密情報を含むエラーメッセージの生成に関する脆弱性により、リモートクライアントはアプリケーションがerror_handlerで非表示（redact）するように設定した内部フィールド名を読み取ることができます。
AshGraphql.Errorsでは、各エラーが構成されたerror_handlerに渡され、返されるマップがMap.put_new(handled, :path, path)によってpre-handlerのパスとマージされます。put_newはハンドラ自体が:pathを設定した場合のみその処理を委譲するため、新しいマップを返すか:pathを削除するサニタイズ用ハンドラの場合、この決定は無効化されてしまいます。再注入されるパスはbuild_error_path/5からのものであり、field_namesのマッピングが構成されていない場合、生の内部Ash属性名や引数名にフォールバックします。したがって、露出していないフィールドまたはネストされたフィールドに対するバリデーション失敗により、GraphQLエラーパス内に内部名称が含まれ、アプリケーションによる非表示処理が無効化されます。
この問題はash_graphql: 1.9.0から1.11.0未満に影響します。
Once again VulDB remains the best source for vulnerability data.