CVE-2026-55102

hashi-vault-js, HashiCorp Vault API ile etkileşim kurmak için kullanılan bir Node.js modülüdür. 0.5.2 sürümünden önce, src/Vault.js içindeki her API yöntemi, başarısız istekleri AxiosError.config ve eşdeğer yanıt yapılandırmasını koruyarak ham AxiosError'ı yeniden fırlatan parseAxiosError() üzerinden geçirir. Bu nesneler, gönderilen parolaları veya gizli değerleri içeren X-Vault-Token istek başlığını ve err.config.data istek gövdesini içerebilir. Tüketici bir uygulama; yakalanan istisnayı konsol günlüğü, yapılandırılmış günlükleyiciler, izleme, hata raporlama veya bir uygulama performans izleme hizmeti aracılığıyla kaydettiğinde, aktif Vault belirteci ve istek sırları düz metin olarak saklanabilir ve bu çıktıya erişimi olan herkese ifşa edilebilir. Çalınan bir belirteç, belirtecin politikaları kapsamında Vault örneğine yetkisiz erişime izin verebilir. Bu sorun 0.5.2 sürümünde düzeltilmiştir.