CVE-2026-81322
Riassunto
di VulDB • 30/08/2026
La vulnerabilità di esposizione di informazioni sensibili a un soggetto non autorizzato in ash-project ash_cloak consente a chiunque abbia accesso ai log, agli strumenti di tracciamento degli errori o ai report di crash, nonché a chi può generare un errore di convalida, di recuperare il testo in chiaro (plaintext) di un campo crittografato dalla libreria.
AshCloak.Transformers.SetUpEncryption rimuove ogni attributo mascherato dall'elenco di accettazione dell'action e aggiunge un argomento dell'action che trasporta il testo in chiaro all'interno della trasformazione di cifratura. Tale argomento viene creato utilizzando `sensitive?: attr.sensitive?`, ereditando la flag dall'attributo sorgente; pertanto, un attributo mascherato dichiarato senza impostare a true l'opzione sensitive genera un argomento non sensibile. Si tratta dell'unica posizione in cui il valore in chiaro è presente e dell'unica situazione in cui Ash non effettua la redazione: appare letteralmente in `inspect(changeset)`, negli errori di tipo `Ash.Error.Invalid` e nei messaggi degli errori di convalida, nella telemetria, nelle dump :sys e nei payload dei tracker degli errori. L'attributo cifrato generato e il calcolo della decrittografia sono già impostati come sensibili per definizione (hardcoded sensitive).
Questa problematica interessa ash_cloak: dalle versioni 0.1.0 alla versione precedente la 0.4.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.