CVE-2026-78693

Nome do Software Vulnerável e Versões Afetadas ash graphql versões 1.9.0 até 1.10.x

Descrição Um cliente remoto pode ler nomes de campos internos que a aplicação configurou seu error handler para redigir. Em AshGraphql.Errors, os erros são processados pelo error handler e mesclados usando Map.put new(handled, :path, path). Se um manipulador de sanitização retornar um novo mapa ou remover a chave :path, essa ação é revertida. O caminho é reinjetado através da função build error path/5, que utiliza nomes brutos de atributos e argumentos internos do Ash quando nenhum mapeamento de field names está configurado. Consequentemente, falhas de validação em campos aninhados ou não expostos revelam nomes internos no caminho de erro do GraphQL.

Recomendações Atualize o ash graphql para a versão 1.11.0 ou posterior.