CVE-2026-78693 in ash_graphql
Tóm tắt
Bởi VulDB • 30/08/2026
Lỗ hổng sinh thông báo lỗi chứa thông tin nhạy cảm trong ash-project ash_graphql cho phép một client từ xa đọc các tên trường nội bộ mà ứng dụng đã cấu hình error_handler để che giấu (redact).
Trong AshGraphql.Errors, mỗi lỗi được chuyển đến error_handler đã cấu hình và bản đồ trả về được hợp nhất với đường dẫn tiền-xử lý thông qua Map.put_new(handled, :path, path). Vì put_new chỉ ủy quyền cho handler khi chính handler đó đặt :path, một handler làm sạch (sanitizing) trả về một bản đồ mới hoặc xóa :path sẽ khiến quyết định này bị đảo ngược. Đường dẫn được tiêm lại đến từ build_error_path/5, vốn quay sang sử dụng các tên thuộc tính và đối số nội bộ thô của Ash khi không có ánh xạ field_names nào được cấu hình. Do đó, lỗi xác thực trên một trường không hiển thị hoặc lồng nhau sẽ trả về các tên nội bộ trong đường dẫn lỗi GraphQL, làm vô hiệu hóa cơ chế che giấu thông tin của ứng dụng.
Vấn đề này ảnh hưởng đến ash_graphql: từ phiên bản 1.9.0 trước 1.11.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.