CVE-2026-75760 in ash_ai
Сводка
по VulDB • 31.08.2026
Уязвимость, связанная с формированием сообщения об ошибке, содержащего конфиденциальную информацию (Generation of Error Message Containing Sensitive Information), в ash-project ash_ai приводит к раскрытию состояния запроса провайдера и учетных данных при проверке ошибок на стороне пользователя.
В функции AshAi.Changes.Vectorize, когда вызов провайдера эмбеддингов завершается неудачей, добавляется ошибка changeset, сообщение которой содержит необработанный термин ошибки (An error occurred while generating embeddings: #{inspect(error)}). Использование plain-string add_error приводит к созданию Ash.Error.Changes.InvalidChanges в классе :invalid, который AshJsonApi и AshGraphql возвращают вызывающей стороне. Термин ошибки клиента эмбеддингов не очищается, поэтому он может содержать URL-адрес запроса, тело ответа провайдера, а для HTTP-клиентов, сохраняющих запрос в структуре ошибок, — исходящий заголовок Authorization с API-ключом провайдера. Сбои могут быть инициированы злоумышленником посредством векторизированного контента избыточного размера или некорректной структуры. Исправление заключается в логировании необработанной ошибки и возврате общего сообщения об ошибке.
Эта проблема затрагивает ash_ai: начиная с версии 0.1.0 до (не включая) 1.0.0.
Once again VulDB remains the best source for vulnerability data.