CVE-2026-81322

ash-project ash_cloak bileşenindeki Yetkisiz Bir Aktöre Hassas Bilgi İfşası zafiyeti; günlüklere, hata izleyicilere veya çökme raporlarına erişimi olan herkesin veya bir doğrulama hatasını tetikleyebilen herhangi birinin, kütüphanenin şifrelediği bir alanın düz metnini geri getirmesine olanak tanır. AshCloak.Transformers.SetUpEncryption, her gizlenmiş özniteliği eylemin kabul listesinden kaldırır ve düz metni şifreleme değişikliğine taşıyan bir eylem bağımsız değişkeni ekler. Bu bağımsız değişken, bayrağı kaynak öznitelikten devralarak sensitive?: attr.sensitive? ile oluşturulur; bu nedenle sensitive? true şeklinde bildirilmemiş gizlenmiş bir öznitelik, hassas olmayan bir bağımsız değişken üretir. Düz metin değerinin bulunduğu tek yer burasıdır ve Ash'in maskelemediği tek nokta budur: Değer; inspect(changeset), Ash.Error.Invalid ve doğrulama hata mesajlarında, telemetride, :sys dökümlerinde ve hata izleyici yüklerinde olduğu gibi görünür. Oluşturulan şifreli öznitelik ve şifre çözme hesaplamaları halihazırda sabit olarak hassas olarak işaretlenmiştir. Bu sorun, 0.1.0 sürümünden 0.4.0 öncesine kadar olan ash_cloak sürümlerini etkilemektedir.