PT-2026-140409
CVE-2026-119613
·
تاريخ النشر
2026-11-09
·
تاريخ التحديث
2026-11-09
الوصف من
CVSS 4.0
5.3
متوسطةالمقاييسAV:N/AC:L/AT:N/PR:L/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المصاب والإصدارات المتأثرة
ash ai الإصدارات من 1.5.0 إلى 1.5.0
Description
تسمح مشكلة في ash ai لمستدعي أداة AshAi بالوصول إلى تفاصيل الخطأ الداخلية، مثل أسماء الوحدات وقيم البيانات، عن طريق التسبب في فشل استدعاء الأداة. يحدث هذا لأن
AshAi.ToToolError يعيد حقل error الخاص بـ Ash.Error.Unknown.UnknownError دون تصفية، ويقوم AshAi.Tool.Errors.format/1 بإرسال هذا النص إلى عملاء MCP في AshAi.Mcp.Server وإلى النموذج في AshAi.ToolLoop. يقوم النظام بتخزين مخرجات Exception.format/2 الكاملة أو inspect/1 لإرجاع {:error, term} في هذا الحقل. بالإضافة إلى ذلك، فإن نتائج الأدوات التي لا يمكن ترميزها بتنسيق JSON تؤدي إلى حدوث Protocol.UndefinedError يحتوي على القيمة التي تم فحصها، والتي قد تتضمن سجلات كاملة بحقول غير مخصصة للإرجاع. يمكن للمستدعي استغلال ذلك عن طريق إرسال وسائط أدوات مشوهة للتسبب في حدوث أعطال وقراءة نص الخطأ الناتج لاكتشاف أسماء الوحدات والوظائف الداخلية.Recommendations
تحديث ash ai إلى الإصدار 1.5.1.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾