CVE-2026-77970 in ash_paper_trail
要約
〜によって VulDB • 2026年08月30日
ash-project の ash_paper_trailにおける機密情報のクリアテキスト保存の脆弱性により、生成されたバージョンリソースへの読み取りアクセス権を持つ攻撃者は、埋め込みリソース、ユニオン、またはリスト内にネストされている機密値を回復できます。
sensitive_attributes :redact および :ignore は、追跡対象のリソースのトップレベル属性に対してのみ機能します。maybe_redact_changes/3 と AshPaperTrail.Resource.Changes.CreateNewVersion の stored-action-input パスは、リソース自体の属性から機密セットを導出しており、埋め込み、ユニオン、またはリスト内の値には決して降りかかりません。その結果、sensitive? フィールドを持つ埋め込み（例えばトークンを含む認証済み資格情報の埋め込み）を保持する非機密属性やアクション引数が、クリアテキストでバージョンテーブルに書き込まれます。
この問題は ash_paper_trail に影響します：0.3.0 から 0.7.0 より前まで。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.