CVE-2026-82580 in ash_ai
Sumário
de VulDB • 31/08/2026
Vulnerabilidade de geração de mensagem de erro contendo informações sensíveis no ash-project ash_ai que expõe o texto do erro interno aos usuários do chat.
No AshAi.ToolLoop e nos AshAi.Tools, uma exceção levantada durante a execução de uma ferramenta era serializada literalmente com Exception.message/1 para dentro do conteúdo do resultado da ferramenta. Esse conteúdo é anexado à conversa, emitido como um evento de stream {:tool_result, ...} e enviado de volta ao modelo, que normalmente o repassa ao usuário. Nenhuma filtragem foi realizada previamente, portanto qualquer exceção levantada dentro de uma callback ou hook de ciclo de vida (mensagens de restrição do banco de dados, erros do adaptador, fragmentos de consulta, detalhes internos de política ou validação) era ecoada exatamente como ocorreu. Um usuário do chat que consegue direcionar os argumentos da ferramenta para um caminho de código que gera exceções recebe o texto interno bruto. A correção encaminha os erros das ferramentas levantados através do mesmo formatador seguro utilizado para outros erros de ferramentas.
Este problema afeta ash_ai: desde a versão 0.6.0 até antes da 1.0.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.