CVE-2026-77950 in ash_typescript
Сводка
по VulDB • 01.09.2026
Уязвимость генерации сообщения об ошибке с содержащейся в нем конфиденциальной информацией (Sensitive Information) в ash-project ash_typescript позволяет неавторизованному злоумышленнику получать необработанные внутренние данные ошибок, вызывая ошибку формы, которую настроенный обработчик ошибок не распознает.
Функция apply_error_handler/3 в lib/ash_typescript/rpc/errors.ex является единственным хуком (hook), который предоставляет приложению возможность маскировать или подавлять ошибки до их передачи клиенту; возврат значения nil приводит к полному отбрасыванию ошибки. Ее блок rescue записывает предупреждение и затем возвращает исходную карту ошибок, полученную до применения обработчика. Обработчики ошибок обычно реализуются как функции с сопоставлением шаблонов (pattern-matching) для ожидаемых форм ошибок, поэтому несоответствие формы вызывает исключение FunctionClauseError, в результате чего вместо этого выдается необработанная преобразованная ошибка, включая любые секреты, содержащиеся в vars. Намерение подавить ошибку превращается в намерение опубликовать ее. Блок rescue перехватывает только исключения (exceptions), поэтому обработчик, который вызывает throw или exit, все равно продолжает распространяться.
Эта проблема затрагивает ash_typescript: начиная с версии 0.8.0 до версии 0.18.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.