CVE-2026-77950 in ash_typescript
摘要
由 VulDB • 2026-09-01
ash-project ash_typescript 中存在一个包含敏感信息的错误消息生成漏洞，允许未经身份验证的攻击者通过触发配置的错误处理程序无法匹配的特定错误形状，从而获取未脱敏的内部错误数据。
lib/ash_typescript/rpc/errors.ex 中的 apply_error_handler/3 是应用程序在错误到达客户端之前进行去标识化或抑制错误的唯一钩子；如果返回 nil，则会完全丢弃该错误。其 rescue（捕获）子句会记录警告日志，然后返回原始的错误映射表（即处理程序之前的状态）。通常，错误处理程序被编写为针对预期错误形状的匹配函数，因此当遇到不匹配的异常形状时，会引发 FunctionClauseError 并直接输出原始的转换后错误数据，其中可能包含 vars 中携带的任何机密信息。原本旨在抑制错误的行为反而变成了发布该错误的原因。由于 rescue 仅捕获异常（exceptions），因此如果处理程序抛出错误或退出，这些情况仍会继续传播。
此问题影响 ash_typescript：从 0.8.0 到 0.18.0 之前的版本。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.