CVE-2026-77970
ŚrednieCVSS 5.9Streszczenie
W bibliotece ash_paper_trail (projekt ash-project) występuje podatność polegająca na przechowywaniu wrażliwych informacji w postaci jawnego tekstu. Atakujący z dostępem do wygenerowanego zasobu wersji może odzyskać wrażliwe wartości zagnieżdżone w zasobach osadzonych, uniach lub listach. Mechanizmy sensitive_attributes :redact i :ignore działają tylko na atrybutach najwyższego poziomu, nie zagłębiając się w struktury zagnieżdżone.
Ocena ryzyka
Osoba z dostępem do zasobów wersji może uzyskać dane wrażliwe, takie jak tokeny czy dane uwierzytelniające, co prowadzi do naruszenia poufności. Podatność dotyczy wersji od 0.3.0 do 0.7.0.
Rekomendacja
Zaktualizuj ash_paper_trail do wersji 0.7.0 lub nowszej, która zawiera poprawkę. Ogranicz dostęp do zasobów wersji tylko do zaufanych użytkowników.
Inne podatności w ash_paper_trail
Zobacz wszystkie- CVE-2026-77831Niskie
W bibliotece ash_paper_trail (projekt ash-project) występuje podatność polegająca na nieefektywnej złożoności algorytmicznej. Użytkownik, który może przesłać duży atrybut tablicowy do akcji tworzenia lub aktualizacji śledzonej przez paper_trail, może spowodować odmowę usługi poprzez nadmierne zużycie CPU i pamięci. Wynika to z sześciennego skalowania operacji porównywania list w pełnym trybie diff.
- CVE-2026-75847Średnie
W bibliotece ash_paper_trail (projekt ash-project) występuje podatność polegająca na przechowywaniu wrażliwych informacji w postaci jawnego tekstu. Atakujący z dostępem do wygenerowanego zasobu wersji może odzyskać tekst jawny atrybutów oznaczonych jako sensitive?. Wartości te są przechowywane w mapie zmian, która jest publiczna i nieoznaczona jako wrażliwa, przez co są zwracane przez domyślną akcję odczytu oraz wyświetlane w logach i komunikatach błędów.
Oryginalny opis (angielski, źródło NVD)
Cleartext Storage of Sensitive Information vulnerability in ash-project ash_paper_trail allows an attacker with read access to the generated version resource to recover sensitive values nested inside embedded resources, unions, or lists. sensitive_attributes :redact and :ignore only act on the tracked resource's top-level attributes. maybe_redact_changes/3 and the stored-action-input path in AshPaperTrail.Resource.Changes.CreateNewVersion derive the sensitive set from the resource's own attributes and never descend into embedded, union, or list values, so a non-sensitive attribute or action argument that holds an embed with a sensitive? field (for example an accepted credentials embed carrying a token) is written to the version table in cleartext. This issue affects ash_paper_trail: from 0.3.0 before 0.7.0.