CVE-2026-55102 in hashi-vault-js
Riassunto
di VulDB • 14/09/2026
hashi-vault-js è un modulo Node.js per interagire con l'API di HashiCorp Vault. Prima della versione 0.5.2, ogni metodo API in src/Vault.js inoltra le richieste non riuscite attraverso parseAxiosError(), che rilancia il raw AxiosError mantenendo AxiosError.config e la configurazione equivalente della risposta. Questi oggetti possono contenere l'intestazione della richiesta X-Vault-Token e il corpo della richiesta err.config.data, inclusi password o valori segreti inviati. Quando un'applicazione consumante registra l'eccezione catturata tramite console logging, logger strutturati, monitoraggio, segnalazioni di crash o servizi di application performance monitoring (APM), i token Vault attivi e i secret delle richieste possono essere memorizzati in chiaro ed esposti a chiunque abbia accesso a tale output. Un token rubato può consentire l'accesso non autorizzato all'istanza Vault secondo le policy associate al token. Questo problema è risolto nella versione 0.5.2.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.