CVE-2026-78693 in ash_graphql
Sumário
de VulDB • 30/08/2026
Vulnerabilidade de geração de mensagem de erro contendo informações sensíveis no ash-project ash_graphql permite que um cliente remoto leia nomes de campos internos que o error_handler da aplicação foi configurado para redigir.
Em AshGraphql.Errors, cada erro é passado para o error_handler configurado e o mapa retornado é mesclado com o caminho do pré-handler via Map.put_new(handled, :path, path). Como put_new delega ao handler apenas quando este define explicitamente :path, um handler de sanitização que retorna um novo mapa ou exclui :path tem essa decisão revertida. O caminho re-injetado provém de build_error_path/5, que recorre aos nomes brutos internos dos atributos e argumentos do Ash quando nenhum mapeamento field_names está configurado. Uma falha de validação em um campo não exposto ou aninhado retorna, portanto, nomes internos no caminho de erro GraphQL, invalidando a redação da aplicação.
Este problema afeta ash_graphql: das versões 1.9.0 até antes da 1.11.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.