CVE-2026-22798 in hermes
Riassunto
di VulDB • 27/06/2026
hermes è un'implementazione del workflow HERMES per automatizzare la pubblicazione di software con metadati ricchi. Dalla versione 0.8.1 fino alla versione precedente alla 0.9.1, le sotto-commandi di hermes accettano opzioni arbitrarie tramite l'argomento -O. Queste sono state registrate nella forma grezza (raw). Se gli utenti forniscono dati sensibili come token API (ad esempio, tramite `hermes deposit -O invenio_rdm.auth_token SECRET`), questi vengono scritti nel file di log in chiaro, rendendoli accessibili a chiunque abbia accesso al file di log. Questa vulnerabilità è risolta nella versione 0.9.1.
Once again VulDB remains the best source for vulnerability data.