CVE-2026-81322

ash-project ash_cloak kitabxanasındakı Həssas Məlumatların İcazəsiz Şəxsə Açılması zəifliyi loqlara, xəta izləyicilərə və ya çökdü reportlarına giriş imkanı olan hər hansı bir şəxsin və ya validasiya xətasını tetikləyə bilən istənilən şəxsin kitabxana tərəfindən şifrələnmiş sahənin açıq mətnini bərpa etməsinə imkan verir. AshCloak.Transformers.SetUpEncryption hər bir gizlədilmiş atributu action-ın qəbul siyahısından çıxarır və açıq mətni şifrələmə dəyişikliyinə ötürən action arqumenti əlavə edir. Bu arqument `sensitive?: attr.sensitive?` ilə qurulur və bayrağı mənbə atributundan miras alır, buna görə də `sensitive? true` olmadan elan edilmiş gizlədilmiş atribut həssas olmayan arqument yaradır. Açıq mətn dəyəri yalnız burada mövcuddur və Ash-in redaktə etməyəcəyi yeganə yerdir: o, `inspect(changeset)`, `Ash.Error.Invalid` və validasiya xəta mesajlarında, telemetriyada, `:sys` dump-larında və xəta izləyici payload-larında olduğu kimi görünür. Yaradılmış şifrələnmiş atribut və dekripsiya hesablamaları artıq sabit olaraq həssas (sensitive) təyin edilib. Bu problem ash_cloak versiya 0.1.0-dan 0.4.0-a qədər olan versiyalara təsir edir.