CVE-2026-77970 in ash_paper_trail
Résumé
par VulDB • 30/08/2026
Une vulnérabilité de stockage en clair d'informations sensibles dans ash-project ash_paper_trail permet à un attaquant disposant d'un accès en lecture aux ressources de version générées de récupérer des valeurs sensibles imbriquées au sein de ressources intégrées, d'unions ou de listes.
Les options `sensitive_attributes :redact` et `:ignore` ne s'appliquent qu'aux attributs de premier niveau de la ressource suivie. Les fonctions `maybe_redact_changes/3` ainsi que le chemin `stored-action-input` dans `AshPaperTrail.Resource.Changes.CreateNewVersion` déduisent l'ensemble des éléments sensibles à partir des propres attributs de la ressource et ne descendent jamais dans les valeurs intégrées, d'unions ou de listes. Par conséquent, un argument d'action ou un attribut non sensible contenant une structure intégrée avec un champ `sensitive?` (par exemple, une structure acceptant des identifiants portant un jeton) est écrit en clair dans la table de version.
Cette vulnérabilité affecte ash_paper_trail : à partir de la version 0.3.0 jusqu'à la version 0.7.0 exclue.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.