CVE-2026-119613

Nome do Software Vulnerável e Versões Afetadas ash ai versões 1.5.0 through 1.5.0

Description Um problema no ash ai permite que um chamador de uma ferramenta AshAi acesse detalhes de erro internos, como nomes de módulos e valores de dados, fazendo com que uma chamada de ferramenta falhe. Isso ocorre porque AshAi.ToToolError retorna o campo error de Ash.Error.Unknown.UnknownError sem filtragem, e AshAi.Tool.Errors.format/1 transmite esse texto para clientes MCP em AshAi.Mcp.Server e para o modelo em AshAi.ToolLoop. O sistema armazena a saída completa de Exception.format/2 ou inspect/1 de um retorno {:error, term} nesse campo. Além disso, resultados de ferramentas que não podem ser codificados em JSON disparam um Protocol.UndefinedError contendo o valor inspecionado, que pode incluir registros inteiros com campos não destinados ao retorno. Um chamador pode explorar isso enviando argumentos de ferramenta malformados para provocar falhas e ler o texto de erro resultante para descobrir nomes internos de módulos e funções.

Recommendations Atualize o ash ai para a versão 1.5.1.