CVE-2026-75847
ŚrednieCVSS 5.9Streszczenie
W bibliotece ash_paper_trail (projekt ash-project) występuje podatność polegająca na przechowywaniu wrażliwych informacji w postaci jawnego tekstu. Atakujący z dostępem do wygenerowanego zasobu wersji może odzyskać tekst jawny atrybutów oznaczonych jako sensitive?. Wartości te są przechowywane w mapie zmian, która jest publiczna i nieoznaczona jako wrażliwa, przez co są zwracane przez domyślną akcję odczytu oraz wyświetlane w logach i komunikatach błędów.
Ocena ryzyka
Osoba z dostępem do zasobów wersji może uzyskać dane wrażliwe, co prowadzi do naruszenia poufności. Podatność dotyczy wersji od 0.1.1 do 0.7.0.
Rekomendacja
Zaktualizuj ash_paper_trail do wersji 0.7.0 lub nowszej, która zawiera poprawkę. Ogranicz dostęp do zasobów wersji i logów.
Inne podatności w ash_paper_trail
Zobacz wszystkie- CVE-2026-77970Średnie
W bibliotece ash_paper_trail (projekt ash-project) występuje podatność polegająca na przechowywaniu wrażliwych informacji w postaci jawnego tekstu. Atakujący z dostępem do wygenerowanego zasobu wersji może odzyskać wrażliwe wartości zagnieżdżone w zasobach osadzonych, uniach lub listach. Mechanizmy sensitive_attributes :redact i :ignore działają tylko na atrybutach najwyższego poziomu, nie zagłębiając się w struktury zagnieżdżone.
- CVE-2026-77831Niskie
W bibliotece ash_paper_trail (projekt ash-project) występuje podatność polegająca na nieefektywnej złożoności algorytmicznej. Użytkownik, który może przesłać duży atrybut tablicowy do akcji tworzenia lub aktualizacji śledzonej przez paper_trail, może spowodować odmowę usługi poprzez nadmierne zużycie CPU i pamięci. Wynika to z sześciennego skalowania operacji porównywania list w pełnym trybie diff.
Oryginalny opis (angielski, źródło NVD)
Cleartext Storage of Sensitive Information vulnerability in ash-project ash_paper_trail allows an attacker with read access to the generated version resource to recover the plaintext of sensitive? attributes. AshPaperTrail stores the values of tracked sensitive? attributes in the generated version resource's changes map, which is declared public? true and sensitive? false, so the values are returned by the version resource's default read action and printed in logs, inspect output, and error messages instead of being redacted. AshPaperTrail.Resource.Transformers.CreateVersionResource derives the changes map's sensitivity from the ignore_attributes list (the attributes excluded from changes) rather than from the tracked attributes actually stored in it, and ignore_attributes defaults to empty, so the flag is effectively always false. This issue affects ash_paper_trail: from 0.1.1 before 0.7.0.