CVE-2026-78693 in ash_graphql
요약
\~에 의해 VulDB • 2026. 08. 30.
ash-project의 ash_graphql에서 민감한 정보가 포함된 오류 메시지 생성 취약점은 원격 클라이언트가 애플리케이션이 error_handler를 통해 가려지도록 구성된 내부 필드 이름을 읽을 수 있게 합니다.
AshGraphql.Errors에서는 각 오류가 구성된 error_handler로 전달되며, 반환된 맵은 Map.put_new(handled, :path, path)를 통해 pre-handler 경로와 병합됩니다. put_new는 핸들러 자체가 :path를 설정한 경우에만 핸들러에 위임하므로, 새로운 맵을 반환하거나 :path를 삭제하는 sanitizing handler의 결정이 되돌려집니다. 재주입된 경로는 build_error_path/5에서 비롯되며, field_names 매핑이 구성되어 있지 않은 경우 raw 내부 Ash 속성 및 인수 이름으로 폴백됩니다. 따라서 노출되지 않거나 중첩된 필드의 유효성 검사 실패는 GraphQL 오류 경로에 내부 이름을 반환하여 애플리케이션의 가려짐(redaction) 기능을 무력화합니다.
이 문제는 ash_graphql 1.9.0 이상 1.11.0 미만 버전에서 영향을 받습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.