CVE-2026-55102

hashi-vault-js, HashiCorp Vault API ilə qarşılıqlı əlaqə üçün nəzərdə tutulmuş Node.js moduludur. 0.5.2 versiyasından əvvəl src/Vault.js faylındakı hər bir API metodu uğursuz sorğuları parseAxiosError() funksiyasına ötürür və bu funksiya AxiosError.config və müvafiq cavab konfiqurasiyasını saxlayaraq xam AxiosError xətasını yenidən atır. Bu obyektlər X-Vault-Token sorğu başlığını və təqdim edilmiş şifrələr və ya gizli dəyərlər daxil olmaqla err.config.data sorğu gövdəsini ehtiva edə bilər. İstifadəçi tətbiqi tutulan istisnayı konsol loqları, strukturlaşdırılmış loqlar, monitorinq, çökmə hesabatları və ya tətbiqin performansının monitorinqi xidməti vasitəsilə qeyd etdikdə, aktiv Vault tokeni və sorğu sirləri açıq mətn formatında saxlanıla və həmin çıxışa giriş imkanı olan hər kəs üçün əlçatan ola bilər. Oğurlanmış token, tokenin siyasətləri çərçivəsində Vault instansiyasına icazəsiz girişi mümkün edə bilər. Bu problem 0.5.2 versiyasında düzəldilmişdir.