CVE-2026-81322 in ash_cloak
الملخص
بحسب VulDB • 30/08/2026
تتيح ثغرة كشف معلومات حساسة لجهة غير مصرح لها (Exposure of Sensitive Information to an Unauthorized Actor) في مكتبة ash-project ash_cloak لأي شخص لديه وصول إلى السجلات (logs)، أو أدوات تتبع الأخطاء، أو تقارير الأعطال، أو أي شخص قادر على إحداث خطأ تحقق من الصحة (validation error)، استعادة النص العادي (plaintext) للحقل الذي تشفره المكتبة.
تقوم دالة `AshCloak.Transformers.SetUpEncryption` بإزالة كل سمة مخفية (cloaked attribute) من قائمة القبول الخاصة بالإجراء، وإضافة حجة إجراء تحمل النص العادي إلى عملية التشفير. تُبنى هذه الحجة باستخدام المعامل `sensitive?: attr.sensitive?`، مما يرث العلم من السمة المصدرية؛ وبالتالي فإن السمة المخفية المُعلنة بدون تحديد `sensitive? true` تنتج حجة غير حساسة (non-sensitive). وهي المكان الوحيد الذي توجد فيه قيمة النص العادي، والمكان الوحيد الذي لن تقوم به Ash بإخفائه أو طمسها: حيث تظهر كما هي حرفياً في مخرجات `inspect(changeset)`، ورسائل الخطأ من نوع `Ash.Error.Invalid` وأخطاء التحقق من الصحة، والبيانات التيليمترية (telemetry)، ومُلقمات النظام (`:sys dumps`)، وحزم بيانات أدوات تتبع الأخطاء. أما السمة المشفرة المُولَّدة وحساب فك التشفير فتم تحديدهما مسبقاً كحساسة (hardcoded sensitive).
تؤثر هذه المشكلة في `ash_cloak`: من الإصدار 0.1.0 حتى قبل الإصدار 0.4.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.