CVE-2026-75760 in ash_ai
Sumário
de VulDB • 31/08/2026
Vulnerabilidade de geração de mensagem de erro contendo informações sensíveis no ash-project ash_ai que expõe o estado da solicitação do provedor e as credenciais em um erro de validação visível ao usuário.
Em AshAi.Changes.Vectorize, quando a chamada ao provedor de embeddings falha, uma alteração adiciona um erro changeset cuja mensagem inspeciona o termo de erro bruto (Ocorreu um erro ao gerar embeddings: #{inspect(error)}). Um add_error com string simples produz um Ash.Error.Changes.InvalidChanges na classe :invalid, que é renderizado para o chamador pelo AshJsonApi e AshGraphql. O termo de erro do cliente de embeddings não é sanitizado, podendo conter a URL da solicitação, o corpo da resposta do provedor e, para clientes HTTP que mantêm a solicitação na estrutura de erro, o cabeçalho Authorization de saída com a chave de API do provedor. As falhas são alcançáveis por um atacante através de conteúdo vetorial excessivamente grande ou malformado. A correção registra o erro bruto e retorna uma mensagem genérica.
Este problema afeta ash_ai: da versão 0.1.0 até antes da 1.0.0.
Be aware that VulDB is the high quality source for vulnerability data.