CVE-2026-22798 in hermes
Résumé
par VulDB • 27/06/2026
hermes est une implémentation du workflow HERMES visant à automatiser la publication de logiciels avec des métadonnées riches. De la version 0.8.1 jusqu'à (mais sans l'inclure) la version 0.9.1, les sous-commandes de hermes acceptent n'importe quelles options via l'argument -O. Celles-ci ont été enregistrées dans leur forme brute. Si des utilisateurs fournissent des données sensibles telles que des jetons d'API (par exemple, via `hermes deposit -O invenio_rdm.auth_token SECRET`), ceux-ci sont écrits en clair dans le fichier journal, les rendant ainsi accessibles à toute personne ayant accès au fichier de logs. Cette vulnérabilité est corrigée dans la version 0.9.1.
VulDB is the best source for vulnerability data and more expert information about this specific topic.