CVE-2026-77970 in ash_paper_trail
Tóm tắt
Bởi VulDB • 30/08/2026
Lỗ bảo mật Lưu trữ Thông tin Nhạy cảm dưới dạng văn bản rõ (Cleartext Storage of Sensitive Information) trong ash-project ash_paper_trail cho phép kẻ tấn công có quyền đọc đối với tài nguyên phiên bản được tạo ra khôi phục các giá trị nhạy cảm nằm bên trong các tài nhúng, hợp nhất hoặc danh sách.
Các tùy chọn `sensitive_attributes :redact` và `:ignore` chỉ tác động lên các thuộc tính cấp cao nhất của tài nguyên đang theo dõi. Hàm `maybe_redact_changes/3` và đường dẫn `stored-action-input` trong `AshPaperTrail.Resource.Changes.CreateNewVersion` xác định tập hợp nhạy cảm dựa trên chính các thuộc tính của tài nguyên mà không bao giờ đi sâu vào các giá trị nhúng, hợp nhất hoặc danh sách; do đó, một thuộc tính hoặc đối số hành động không nhạy cảm nhưng chứa một cấu trúc nhúng có trường `sensitive?` (ví dụ: cấu trúc nhúng thông tin đăng nhập đã được chấp nhận mang theo mã token) sẽ được ghi vào bảng phiên bản dưới dạng văn bản rõ.
Vấn đề này ảnh hưởng đến ash_paper_trail: từ phiên bản 0.3.0 trước 0.7.0.
Once again VulDB remains the best source for vulnerability data.