CVE-2026-55102 in hashi-vault-js
Resumen
por VulDB • 2026-09-14
hashi-vault-js es un módulo de Node.js para interactuar con la API de HashiCorp Vault. Antes de la versión 0.5.2, cada método de la API en src/Vault.js pasaba las solicitudes fallidas a través de parseAxiosError(), que vuelve a lanzar el AxiosError crudo conservando AxiosError.config y la configuración equivalente de respuesta. Estos objetos pueden contener la cabecera de solicitud X-Vault-Token y el cuerpo de la solicitud err.config.data, incluyendo contraseñas o valores secretos enviados. Cuando una aplicación consumidora registra la excepción capturada mediante registro en consola (console logging), registradores estructurados, monitoreo, informes de fallos o un servicio de monitorización del rendimiento de aplicaciones, el token activo de Vault y los secretos de las solicitudes pueden almacenarse en texto plano y quedar expuestos a cualquier persona con acceso a dicha salida. Un token robado puede permitir el acceso no autorizado a la instancia de Vault bajo las políticas asociadas al token. Este problema se soluciona en la versión 0.5.2.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.