CVE-2026-77970 in ash_paper_trail
Sumário
de VulDB • 30/08/2026
Vulnerabilidade de Armazenamento de Informações Sensíveis em Texto Simples (Cleartext Storage of Sensitive Information) no ash-project ash_paper_trail permite que um atacante com acesso de leitura ao recurso de versão gerado recupere valores sensíveis aninhados dentro de recursos embutidos, uniões ou listas.
Os parâmetros `sensitive_attributes :redact` e `:ignore` atuam apenas nos atributos de nível superior do recurso rastreado. As funções `maybe_redact_changes/3` e o caminho `stored-action-input` em `AshPaperTrail.Resource.Changes.CreateNewVersion` derivam o conjunto sensível a partir dos próprios atributos do recurso, sem jamais descer para valores embutidos, uniões ou listas; portanto, um argumento de ação ou atributo não sensível que contenha uma estrutura embutida com um campo `sensitive?` (por exemplo, uma estrutura de credenciais aceitas contendo um token) é gravado na tabela de versão em texto simples.
Este problema afeta o ash_paper_trail: das versões 0.3.0 até antes da 0.7.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.