CVE-2026-78693
Publiée le 2026-08-30 · Dernière modification le 2026-09-01
Les applications utilisant la bibliothèque `ash_graphql` (versions 1.9.0 à 1.10.x) peuvent involontairement divulguer les noms de champs et d'attributs internes de la base de données dans les messages d'erreur GraphQL. Un attaquant distant peut déclencher ces messages pour contourner les paramètres de masquage et découvrir la structure interne de votre modèle de données. Cette opération est facile à exécuter car elle ne nécessite ni authentification, ni interaction de l'utilisateur, et seulement un accès réseau basique à l'API.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Generation of Error Message Containing Sensitive Information vulnerability in ash-project ash_graphql allows a remote client to read internal field names that an application configured its error_handler to redact. In AshGraphql.Errors, each error is passed to the configured error_handler and the returned map is merged with the pre-handler path via Map.put_new(handled, :path, path). Because put_new defers to the handler only when the handler itself set :path, a sanitizing handler that returns a fresh map or deletes :path has that decision reverted. The re-injected path comes from build_error_path/5, which falls back to raw internal Ash attribute and argument names when no field_names mapping is configured. A validation failure on a non-exposed or nested field therefore returns internal names in the GraphQL error path, defeating the application's redaction. This issue affects ash_graphql: from 1.9.0 before 1.11.0.