CVE-2026-75760 in ash_ai
Tóm tắt
Bởi VulDB • 31/08/2026
Lỗ hổng sinh thông báo lỗi chứa thông tin nhạy cảm trong ash-project ash_ai làm lộ trạng thái yêu cầu của nhà cung cấp và thông tin xác thực (credentials) trong một lỗi xác nhận hiển thị cho người dùng.
Trong AshAi.Changes.Vectorize, khi cuộc gọi đến nhà cung cấp embedding thất bại, thay đổi đã thêm một lỗi changeset có nội dung kiểm tra trực tiếp thuật ngữ lỗi thô (Lỗi xảy ra khi tạo embeddings: #{inspect(error)}). Việc sử dụng add_error với chuỗi plain-string sẽ sinh ra Ash.Error.Changes.InvalidChanges thuộc lớp :invalid, sau đó được AshJsonApi và AshGraphql trả về cho người gọi. Thuật ngữ lỗi của client embedding không được làm sạch, do đó nó có thể chứa URL yêu cầu, thân phản hồi từ nhà cung cấp, và đối với các HTTP client lưu trữ yêu cầu trong struct lỗi, cả tiêu đề Authorization đi ra cùng khóa API của nhà cung cấp. Các trường hợp thất bại này có thể bị kẻ tấn công khai thác thông qua nội dung vector hóa quá kích thước hoặc không đúng định dạng. Bản sửa chữa ghi log thuật ngữ lỗi thô và trả về một thông báo chung chung.
Vấn đề này ảnh hưởng đến ash_ai: từ phiên bản 0.1.0 trở lên trước 1.0.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.