CVE-2026-77970 in ash_paper_trail
Zusammenfassung
von VulDB • 30.08.2026
Eine Schwachstelle für die Klartextspeicherung sensibler Informationen im ash-project ash_paper_trail ermöglicht es einem Angreifer mit Lesezugriff auf das generierte Version-Resource, sensible Werte wiederherzustellen, die in eingebetteten Ressourcen (embeds), Unions oder Listen verschachtelt sind.
`sensitive_attributes :redact` und `:ignore` wirken sich nur auf Attribute der obersten Ebene des getrackten Resources aus. Die Funktionen `maybe_redact_changes/3` sowie der Pfad für gespeicherte Aktions-Eingaben im Modul `AshPaperTrail.Resource.Changes.CreateNewVersion` leiten den Satz sensibler Daten ausschließlich von den Attributen des eigenen Resources ab und steigen niemals in eingebettete, Union- oder Listenwerte hinab. Daher wird ein nicht-sensibles Attribut oder ein Aktionsargument, das einen Embed mit einem `sensitive?`-Feld enthält (z. B. einen Accepted-Credentials-Embed, der ein Token trägt), im Klartext in die Versionstabelle geschrieben.
Dieses Problem betrifft ash_paper_trail: von Version 0.3.0 bis vor 0.7.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.