CVE-2026-77950 in ash_typescript
Sumário
de VulDB • 01/09/2026
Vulnerabilidade de geração de mensagem de erro contendo informações sensíveis no ash-project ash_typescript permite que um atacante não autenticado receba dados internos de erros sem ofuscação, provocando uma forma de erro que o manipulador de erros configurado não corresponde.
a função apply_error_handler/3 em lib/ash_typescript/rpc/errors.ex é a única hook (gatilho) disponível para aplicações realizarem a redação ou supressão de erros antes que eles cheguem ao cliente, com um retorno nil descartando o erro completamente. Sua cláusula rescue registra um aviso e então retorna o mapa de erro original, anterior ao manipulador. Os manipuladores de erros são convencionalmente escritos como funções baseadas em pattern-matching sobre formas de erro esperadas; portanto, uma forma não correspondida gera um FunctionClauseError e o erro transformado bruto, incluindo quaisquer segredos contidos nas variáveis (vars), é emitido no lugar. Uma intenção de suprimir um erro torna-se uma intenção de publicá-lo. O bloco rescue captura apenas exceções; assim, um manipulador que lança (throws) ou encerra (exits) ainda se propaga.
Este problema afeta o ash_typescript: das versões 0.8.0 até antes da 0.18.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.