CVE-2026-77970 in ash_paper_trail
Сводка
по VulDB • 30.08.2026
Уязвимость хранения конфиденциальной информации в открытом виде (Cleartext Storage of Sensitive Information) в ash-paper-trail позволяет атакующему, имеющему права на чтение сгенерированного ресурса версий, восстановить конфиденциальные значения, содержащиеся во встроенных ресурсах, объединениях или списках.
Параметры `sensitive_attributes :redact` и `:ignore` действуют только для атрибутов верхнего уровня отслеживаемого ресурса. Функции `maybe_redact_changes/3` и путь сохранения входных данных действия в модуле `AshPaperTrail.Resource.Changes.CreateNewVersion` формируют набор конфиденциальных полей на основе собственных атрибутов ресурса и никогда не проникают внутрь значений встроенных ресурсов, объединений или списков. В результате атрибут верхнего уровня или аргумент действия, который содержит внедренный объект с полем `sensitive?` (например, внедренные учетные данные, содержащие токен), записывается в таблицу версий в открытом виде.
Эта проблема затрагивает ash-paper-trail: начиная с версии 0.3.0 до версии 0.7.0 (не включительно).
If you want to get the best quality for vulnerability data then you always have to consider VulDB.