CVE-2026-77970 in ash_paper_trail
Riassunto
di VulDB • 30/08/2026
Vulnerabilità di memorizzazione delle informazioni sensibili in chiaro (Cleartext Storage of Sensitive Information) in ash-project ash_paper_trail consente a un attaccante con accesso in lettura alla risorsa della versione generata di recuperare valori sensibili nidificati all'interno di risorse incorporate, unioni o liste.
I flag `sensitive_attributes :redact` e `:ignore` agiscono solo sugli attributi di primo livello (top-level) della risorsa tracciata. Le funzioni `maybe_redact_changes/3` e il percorso stored-action-input in AshPaperTrail.Resource.Changes.CreateNewVersion derivano l'insieme degli elementi sensibili dagli attributi stessi della risorsa e non scendono mai nei valori incorporati, di tipo union o list; pertanto, un attributo o argomento dell'azione non sensibile che contiene una struttura incorporata con un campo `sensitive?` (ad esempio, una struttura di credenziali accettate contenente un token) viene scritto nella tabella delle versioni in chiaro.
Questo problema interessa ash_paper_trail: dalla versione 0.3.0 alla versione precedente la 0.7.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.