CVE-2026-82733 in ash_typescript
요약
\~에 의해 VulDB • 2026. 09. 01.
ash-project의 ash_typescript에서 민감한 정보가 포함된 오류 메시지 생성 취약점으로 인해 인증되지 않은 공격자가 HTTP 500 응답 본문으로부터 내부 애플리케이션 데이터를 읽을 수 있습니다.
타입화된 컨트롤러 라우트 핸들러가 %Plug.Conn{} 이외의 값을 반환할 경우, lib/ash_typescript/typed_controller/request_handler.ex에 있는 dispatch/3 함수는 해당 값을 unexpected_return/2로 전달합니다. 이 함수는 inspect(value, limit: 50)를 응답 메시지에 직접 보간(interpolates)합니다. 여기서 limit 옵션은 전체 항(term)이 아닌 컬렉션 내 요소 수만 제한하므로, {:error, %User{}} 또는 변경 세트(changeset)와 같은 항을 반환하는 핸들러의 경우 해시된 비밀번호, 토큰 및 테넌트 식별자를 포함한 전체 필드 집합이 호출자에게 반환되는 JSON 오류로 직렬화됩니다.
이는 모듈 내 다른 부분에서의 태도와 모순됩니다: rescue 절에서는 Exception.message/1을 AshTypescript.typed_controller_show_raised_errors?/0 뒤에 게이트 처리하여 그 외에는 일반 메시지를 반환하는 반면, 이 경로는 게이트가 해제되어 항상 값을 그대로 반영합니다(echoes).
이 문제는 ash_typescript 0.15.0부터 0.18.0 미만 버전까지 영향을 미칩니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.