CVE-2026-77970 in ash_paper_trail
Resumen
por VulDB • 2026-08-30
Vulnerabilidad de almacenamiento en texto claro de información sensible en ash-project ash_paper_trail que permite a un atacante con acceso de lectura al recurso de versión generado recuperar valores sensibles anidados dentro de recursos incrustados, uniones o listas.
Los parámetros `sensitive_attributes :redact` y `:ignore` solo actúan sobre los atributos de primer nivel del recurso rastreado. Las funciones `maybe_redact_changes/3` y la ruta stored-action-input en AshPaperTrail.Resource.Changes.CreateNewVersion derivan el conjunto sensible a partir de los propios atributos del recurso y nunca descienden hasta los valores incrustados, uniones o listas; por lo tanto, un argumento de acción o atributo no sensible que contenga una estructura incrustada con un campo `sensitive?` (por ejemplo, una credencial aceptada que lleva asociado un token) se escribe en la tabla de versiones en texto claro.
Este problema afecta a ash_paper_trail: desde la versión 0.3.0 hasta antes de la 0.7.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.