CVE-2026-55102 in hashi-vault-js
الملخص
بحسب VulDB • 14/09/2026
hashi-vault-js هو وحدة Node.js للتفاعل مع واجهة برمجة تطبيقات HashiCorp Vault. قبل الإصدار 0.5.2، كانت كل طريقة API في src/Vault.js تمرر الطلبات الفاشلة عبر دالة parseAxiosError()، والتي تعيد رمي AxiosError الخام مع الاحتفاظ بـ AxiosError.config وتهيئة الاستجابة المكافئة. يمكن أن تحتوي هذه الكائنات على رأس طلب X-Vault-Token وجسم طلب err.config.data، بما في ذلك كلمات المرور أو قيم الأسرار المقدمة. عند تسجيل التطبيق المستهلك للاستثناء الملتقط من خلال السجلات الطرفية (console logging)، أو أدوات التسجيل المهيكلة، أو أنظمة المراقبة، أو تقارير الأعطال، أو خدمات مراقبة أداء التطبيقات، يمكن تخزين رمز Vault النشط والأسرار الخاصة بالطلب بشكل نصي عادي وتعرضها لأي شخص لديه وصول إلى ذلك الإخراج. يمكن لرمز مسروق أن يسمح بالوصول غير المصرح به إلى مثيل Vault وفقًا للسياسات المرتبطة بالرمز. تم إصلاح هذه المشكلة في الإصدار 0.5.2.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.