CVE-2026-105963
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Wygenerowany zewnętrznie komunikat o błędzie zawierający lukę w zabezpieczeniach poufnych informacji we wtyczce plug_crypto w wtyczce elixir-plug plug_crypto umożliwia nieuwierzytelnionemu zdalnemu atakującemu ujawnienie bazy tajnych kluczy za pośrednictwem dzienników aplikacji za pomocą błędnie wpisanego argumentu. Każda funkcja publiczna w Plug.Crypto sprawdza typy argumentów w nagłówku funkcji. Nieudana ochrona powoduje, że maszyna wirtualna Erlang zgłasza błąd FunctionClauseError z rzeczywistymi wartościami argumentów w górnej ramce stosu, więc baza tajnego klucza, klucz pochodny lub wartość klucza API są porównywane z wartościami znajdującymi się w tej ramce. Bloki ratunkowe biblioteki i Plug.Crypto.prune_args_from_stacktrace/1 docierają tylko do wyjątków zgłoszonych w treści funkcji, więc nigdy nie zobaczą błędu zabezpieczenia. Plug.Cowboy i Bandit zapisują ramkę do dziennika błędów i dołączają ją jako metadane rejestratora Crash_reason Logger, które przekazują moduły śledzenia błędów.
Dwa punkty wejścia pobierają dane żądań. Plug.Crypto.verify/4 ujawnia bazę tajnego klucza, gdy token nie jest ani binarny, ani zerowy, co osiąga Phoenix.Token.verify/4, ponieważ przekazuje token niestrzeżony. Plug.Crypto.secure_compare/2 udostępnia drugi operand, gdy jedna strona nie jest binarna, co ma miejsce, gdy brakujący nagłówek żądania daje zero. Odczyt wartości, które wyciekły, wymaga osobnego dostępu do dzienników lub narzędzia do śledzenia błędów, więc samo żądanie nie ujawnia sekretu atakującemu.
Ten problem dotyczy wtyczki: od 1.6.3 przed 1.7.0; plug_crypto: od wersji 1.0.0 przed 2.2.1.
>_ Słabości (CWE)
>_ Referencje
- https://cna.erlef.org/cves/CVE-2026-105963.html
- https://github.com/elixir-plug/plug/commit/56000c33d8a0a2fbac491f8be06b9c5112bc2276
- https://github.com/elixir-plug/plug/commit/aeaa90e76b73ea90c3ecca9aae16fce71bd2a8d4
- https://github.com/elixir-plug/plug/security/advisories/GHSA-ffw9-w85g-f2vh
- https://github.com/elixir-plug/plug_crypto/commit/2d078b7b8264c565f0ff71235c515f4f46882dcf
- https://github.com/elixir-plug/plug_crypto/commit/981887493dada0fce7003c61861c00dfbb0fc8c5
- https://osv.dev/vulnerability/EEF-CVE-2026-105963
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org