CVE-2026-82579

Nome do Software Vulnerável e Versões Afetadas ash ai versões 0.6.0 até 0.9.x

Description Um problema de loop infinito existe no componente AshAi.ToolLoop. Quando uma resposta de modelo de :tool calls é processada, ela é filtrada pelas funções normalize tool calls/2 e unprocessed tool calls/2. Se essas funções retornarem uma lista vazia — o que pode ocorrer se uma chamada não possuir um nome válido ou reutilizar um tool call id já presente no histórico — o loop recursa com uma lista de mensagens idêntica. Isso impede que a conversa avance e faz com que a mesma requisição seja enviada repetidamente. Se o max iterations estiver configurado como :infinity, o processo nunca termina; caso contrário, consome todo o orçamento de iterações. Este comportamento pode ser desencadeado por conteúdo injetado via prompt que força o modelo a reemitir um tool call id já utilizado.

Recommendations Atualize o ash ai para a versão 1.0.0 ou posterior.