CVE-2026-82580 in ash_ai
요약
\~에 의해 VulDB • 2026. 08. 31.
ash-project의 ash_ai에서 민감한 정보가 포함된 오류 메시지 생성 취약점으로 인해 채팅 사용자에게 내부 오류 텍스트가 노출됩니다.
AshAi.ToolLoop 및 AshAi.Tools에서는 도구 실행 중 발생한 예외가 Exception.message/1을 사용하여 그대로 직렬화되어 tool-result 콘텐츠에 포함되었습니다. 이 콘텐츠는 대화 기록에 추가되고 {:tool_result, ...} 스트림 이벤트로 방출되며 모델에게 다시 전송되어 일반적으로 사용자에게 전달됩니다. 사전 필터링이 수행되지 않았으므로 도구 콜백 또는 라이프사이클 훅 내부에서 발생한 모든 내용(데이터베이스 제약 조건 메시지, 어댑터 오류, 쿼리 조각, 정책 또는 유효성 검사 관련 내부 정보 등)이 원본 그대로 반영되었습니다. 도구의 인수를 예외를 유발하는 코드 경로로 유도할 수 있는 채팅 사용자는生の 내부 텍스트를 수신하게 됩니다. 이 수정 사항으로 인해 발생한 도구 오류는 다른 도구 오류와 동일한 안전한 포맷터를 통해 처리되도록 변경되었습니다.
이 문제는 ash_ai 0.6.0부터 1.0.0 미만 버전까지 영향을 미칩니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.