CVE-2026-78693
Açıklama
ash-project ash_graphql bileşenindeki Hassas Bilgi İçeren Hata Mesajı Oluşturulması zafiyeti, uzak bir istemcinin, uygulamanın error_handler aracılığıyla gizlediği dahili alan adlarını okumasına olanak tanır. AshGraphql.Errors içerisinde her hata yapılandırılmış error_handler'a iletilir ve dönen eşleme (map), Map.put_new(handled, :path, path) aracılığıyla işlem öncesi yol ile birleştirilir. put_new yalnızca handler'ın kendisi :path değerini belirlediğinde handler'a öncelik verdiği için, yeni bir eşleme döndüren veya :path değerini silen temizleyici bir handler'ın bu kararı geri alınır. Yeniden eklenen yol, field_names eşlemesi yapılandırılmadığında ham dahili Ash öznitelik ve argüman adlarına geri dönen build_error_path/5 fonksiyonundan gelir. Bu nedenle, dışa açılmamış veya iç içe geçmiş bir alandaki doğrulama hatası, GraphQL hata yolunda dahili adları döndürerek uygulamanın gizleme işlemini etkisiz kılar. Bu sorun ash_graphql'nin 1.9.0 sürümünden 1.11.0 sürümü öncesine kadar olan versiyonlarını etkilemektedir.
Nasıl düzeltilir
- ash-project ash_graphql1.11.0, 78e90d369f09f44c534816de541e60841066a467 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| ash-project ash_graphql | 1.9.0 ≤ v < 1.11.0, 6d2d8d995906d68cc245d209a9b3f9853405eb61 ≤ v < 78e90d369f09f44c534816de541e60841066a467 | 1.11.0, 78e90d369f09f44c534816de541e60841066a467 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.