CVE-2026-78693

ash-project ash_graphql komponentindəki Həssas Məlumat Ehtiva Edən Xəta Mesajının Yaradılması zəifliyi uzaqdakı müştəriyə tətbiqin error_handler vasitəsilə gizlətmək üçün konfiqurasiya etdiyi daxili sahə adlarını oxumağa imkan verir. AshGraphql.Errors bölməsində hər bir xəta konfiqurasiya edilmiş error_handler-ə ötürülür və qaytarılan xəritə (map) Map.put_new(handled, :path, path) vasitəsilə pre-handler yolu ilə birləşdirilir. put_new funksiyası yalnız handler özü :path təyin etdikdə həmin handler-ə üstünlük verdiyi üçün, yeni xəritə qaytaran və ya :path elementini silən sanitarlaşdırıcı handler-in bu qərarı ləğv edilir. Yenidən yerləşdirilən yol build_error_path/5 funksiyasından gəlir ki, o da field_names xəritələnməsi konfiqurasiya edilmədikdə xammal daxili Ash atribut və arqument adlarına geri dönür. Buna görə də, açıq olmayan və ya iç-içə (nested) sahədə validasiyanın uğursuz olması GraphQL xəta yolunda daxili adları qaytarır və tətbiqin məlumatların gizlədilməsi mexanizmini sıradan çıxarır. Bu problem ash_graphql versiya 1.9.0-dan 1.11.0-a qədər olan versiyalara təsir edir.