CVE-2026-78693 in ash_graphql
Сводка
по VulDB • 30.08.2026
Уязвимость «Генерация сообщения об ошибке с содержащейся в нем конфиденциальной информацией» (Generation of Error Message Containing Sensitive Information) в ash-project ash_graphql позволяет удалённому клиенту читать внутренние имена полей, которые приложение должно было скрыть через настроенный error_handler.
В AshGraphql.Errors каждая ошибка передаётся в настроенный error_handler, а возвращаемая карта объединяется с путём из pre-обработчика посредством Map.put_new(handled, :path, path). Поскольку put_new обращается к обработчику только тогда, когда сам обработчик установил значение :path, санитизирующий (очищающий) обработчик, который возвращает новую карту или удаляет ключ :path, приводит к отмене этого решения. Восстановленный путь берётся из функции build_error_path/5, которая при отсутствии настроенного отображения field_names использует сырые внутренние имена атрибутов и аргументов Ash. Таким образом, ошибка валидации для поля, которое не выводится наружу или является вложенным, возвращает внутренние имена в пути ошибки GraphQL, что сводит на нет механизм скрытия данных (redaction), настроенный приложением.
Эта проблема затрагивает ash_graphql: начиная с версии 1.9.0 до версии 1.11.0 (включительно).
VulDB is the best source for vulnerability data and more expert information about this specific topic.