Podatności ash_paper_trail

W bibliotece ash_paper_trail (projekt ash-project) występuje podatność polegająca na przechowywaniu wrażliwych informacji w postaci jawnego tekstu. Atakujący z dostępem do wygenerowanego zasobu wersji może odzyskać wrażliwe wartości zagnieżdżone w zasobach osadzonych, uniach lub listach. Mechanizmy sensitive_attributes :redact i :ignore działają tylko na atrybutach najwyższego poziomu, nie zagłębiając się w struktury zagnieżdżone.

W bibliotece ash_paper_trail (projekt ash-project) występuje podatność polegająca na nieefektywnej złożoności algorytmicznej. Użytkownik, który może przesłać duży atrybut tablicowy do akcji tworzenia lub aktualizacji śledzonej przez paper_trail, może spowodować odmowę usługi poprzez nadmierne zużycie CPU i pamięci. Wynika to z sześciennego skalowania operacji porównywania list w pełnym trybie diff.

W bibliotece ash_paper_trail (projekt ash-project) występuje podatność polegająca na przechowywaniu wrażliwych informacji w postaci jawnego tekstu. Atakujący z dostępem do wygenerowanego zasobu wersji może odzyskać tekst jawny atrybutów oznaczonych jako sensitive?. Wartości te są przechowywane w mapie zmian, która jest publiczna i nieoznaczona jako wrażliwa, przez co są zwracane przez domyślną akcję odczytu oraz wyświetlane w logach i komunikatach błędów.