CVE-2026-82733

ash-project ash_typescript daxilindəki Həssas Məlumat Ehtiva Edən Xəta Mesajının Yaradılması zəifliyi, autentifikasiya olunmamış hücumçuya HTTP 500 cavab gövdəsindən tətbiqin daxili məlumatlarını oxumağa imkan verir. Typed-controller marşrutu idarəçisi %Plug.Conn{}-dən fərqli hər hansı bir dəyər qaytardıqda, lib/ash_typescript/typed_controller/request_handler.ex faylındakı dispatch/3 funksiyası həmin dəyəri unexpected_return/2 funksiyasına ötürür və bu da inspect(value, limit: 50) nəticəsini birbaşa cavab mesajına əlavə edir. Limit seçimi bütün termini deyil, kolleksiya üzrə elementləri məhdudlaşdırır, buna görə də {:error, %User{}} kimi termin və ya changeset ilə sonlanan idarəçi, heç edilmiş şifrələr, tokenlər və tenant identifikatorları da daxil olmaqla, tam sahə dəstini çağırana qaytarılan JSON xətasına seriyallaşdırır. Bu, modulun digər hissələrindəki yanaşma ilə ziddiyyət təşkil edir: rescue bəndində Exception.message/1 funksiyası AshTypescript.typed_controller_show_raised_errors?/0 vasitəsilə yoxlanılır və əks halda ümumi mesaj qaytarılır, lakin bu yol heç bir yoxlamadan keçmir və həmişə məlumatı əks etdirir. Bu problem ash_typescript versiya 0.15.0-dan 0.18.0-a qədər olan versiyalara təsir edir.