CVE-2026-82723

team-alembic AshAuthentication-da Həssas Məlumatın Loq Faylına Yerləşdirilməsi zəifliyi, istifadəçi parol heşlərinin audit anbarının oxuyucularına açıqlanmasına şərait yaradır. audit_log əlavəsi hər bir yazının extra_data hissəsini AshAuthentication.AddOn.AuditLog.Auditor.build_extra_data/4 funksiyasında formalaşdırır və bu funksiya action callback kontekstindən :actor parametrini olduğu kimi götürür. Buna görə də, actor: parametri istifadəçi qeydinə təyin edilmiş şəkildə çağırılan hər hansı audit edilən action həmin qeydi, o cümlədən onun hashed_password atributunu audit yazısına yerləşdirir. Eyni modul artıq audit edilən kimliyi AshAuthentication.user_to_subject/1 vasitəsilə şəffaf olmayan sətirə çevirir və parametrləri strategiyanın konfiqurasiya edilmiş icazə siyahısına əsasən filtrləyir, beləliklə, actor audit anbarına filtrsiz çatan yeganə saxlanılan dəyərdir. Atributu sensitive?: true olaraq qeyd etmək kömək etmir, çünki bu, JSON kodlaşdırmasını və ya xam termin saxlamağını deyil, yalnız inspect/1 çıxışını gizlədir. Hücumçu tərəfindən idarə olunan tetikleyici və ya şəbəkə üzərindən məlumat sızma yolu mövcud deyil: yazılar adi autentifikasiya olunmuş fəaliyyətlərdən toplanır və hücumçunun öz sorğuları yalnız onun öz heşini yerləşdirir. İstismarı üçün audit anbarına müstəqil oxuma girişi (məsələn, verilənlər bazası etibarnamələri, audit rolu, ehtiyat nüsxə və ya loq ötürücü) tələb olunur ki, bu nöqtədə heşlər hər bir aktiv hesaba qarşı oflayn parol hücumlarını dəstəkləyir. Materialın qalıcı olub-olmaması məlumat təbəqəsindən asılıdır, çünki xam termin anbarları onu olduğu kimi saxlayır, SQL anbarı isə istifadəçi resursu Jason.Encoder-dən törəmədiyi halda Protocol.UndefinedError xətası verir və yazını silir. Bu problem ash_authentication versiyalarını əhatə edir: 4.12.0-dan 4.15.0-a qədər və 5.0.0-rc.0-dan 5.0.0-rc.2-yə qədər.