CVE-2026-82733

Nome do Software Vulnerável e Versões Afetadas ash typescript versões 0.15.0 até 0.17.0

Description Um invasor não autenticado pode ler dados internos da aplicação a partir do corpo de uma resposta HTTP 500. Isso ocorre quando um manipulador de rota de controlador tipado retorna um valor diferente de %Plug.Conn{}, fazendo com que a função dispatch/3 em lib/ash typescript/typed controller/request handler.ex passe o valor para unexpected return/2. Esta função interpola inspect(value, limit: 50) diretamente na mensagem de resposta. Como a opção de limite restringe apenas elementos por coleção e não o termo como um todo, manipuladores que retornam termos como {:error, %User{}} ou um changeset podem serializar o conjunto completo de campos — incluindo senhas hashed, tokens e identificadores de locatário (tenant) — no erro JSON retornado ao chamador.

Recommendations Atualize o ash typescript para a versão 0.18.0 ou posterior.