CVE-2026-81322— AshCloak 明文信息泄露漏洞
一分钟漏洞结论
影响对象
ash-project ash_cloak
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
ash-project 的 ash_cloak 库中存在“向非授权方泄露敏感信息”的漏洞，使得任何能够访问日志、错误跟踪器或崩溃报告的人，或任何能够触发校验错误的人，均可恢复该库所加密字段的明文内容。 具体机制如下： 会从操作的接受列表（accept list）中移除每个被“掩盖”（cloaked）的属性，并添加一个携带明文值的新参数，用于加密变更。该参数在构建时通过 继承源属性的 标志。因此，若被掩盖的属性未显式声明 ，则生成的新参数将被视为非敏感参数。 这个新参数是明文值唯一存在的位置，也是 Ash 框架不会对
获取后续新漏洞提醒
登录后订阅
一、 漏洞 CVE-2026-81322 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
Cloaked plaintext leaks through a non-sensitive action argument in AshCloak
来源: CVE Program / CVE List V5
Vulnerability Description
Exposure of Sensitive Information to an Unauthorized Actor vulnerability in ash-project ash_cloak allows anyone with access to logs, error trackers, or crash reports, or anyone who can trigger a validation error, to recover the plaintext of a field the library encrypts.
AshCloak.Transformers.SetUpEncryption removes each cloaked attribute from the action's accept list and adds an action argument that carries the plaintext into the encryption change. That argument is built with sensitive?: attr.sensitive?, inheriting the flag from the source attribute, so a cloaked attribute declared without sensitive? true produces a non-sensitive argument. It is the only place the cleartext value lives, and the one place Ash will not redact: it appears verbatim in inspect(changeset), Ash.Error.Invalid and validation error messages, telemetry, :sys dumps, and error-tracker payloads. The generated encrypted attribute and decrypt calculation are already hardcoded sensitive.
This issue affects ash_cloak: from 0.1.0 before 0.4.0.
来源: CVE Program / CVE List V5
CVSS Information
CVSS:4.0/AV:L/AC:L/AT:P/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N
来源: CVE Program / CVE List V5
Vulnerability Type
信息暴露
来源: CVE Program / CVE List V5
受影响产品
| 厂商 | 产品 | 影响版本 | CPE | 订阅 |
|---|---|---|---|---|
| ash-project | ash_cloak | 0.1.0 ~ 0.4.0 |
cpe:2.3:a:ash-project:ash_cloak:*:*:*:*:*:*:*:*
|
|
| ash-project | ash_cloak | f1595a77fdfa9bfc672f84c2f77feb9e7bf895fc ~ ef49cfc832329fc8bc70ec6542a4dfff5dafd076 |
cpe:2.3:a:ash-project:ash_cloak:*:*:*:*:*:*:*:*
|
|
二、漏洞 CVE-2026-81322 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-81322 的情报信息
请登录查看更多情报信息。
CVE-2026-81322 其他参考 (4)
-
https://github.com/ash-project/ash_cloak/security/advisories/GHSA-qp4v-vvrg-8ggx vendor-advisory related
同批安全公告 · ash-project · 2026-08-30 · 共 14 条
| CVE-2026-78699 | 7.2 HIGH | AshPostgres rename_tenant 租户访问漏洞 |
| CVE-2026-75847 | 5.9 MEDIUM | AshPaperTrail 敏感属性存储于公开变更映射 |
| CVE-2026-77970 | 5.9 MEDIUM | AshPaperTrail 嵌入式嵌套字段未脱敏漏洞 |
| CVE-2026-78038 | 5.9 MEDIUM | AshOban 参数注入覆盖主键与租户漏洞 |
| CVE-2026-78228 | 5.9 MEDIUM | Ash Oban 远程服务拒绝漏洞 |
| CVE-2026-77454 | 5.9 MEDIUM | AshSql 2.49 静默丢弃存在性过滤漏洞 |
| CVE-2026-81319 | 5.9 MEDIUM | AshCloak 不安全反序列化导致节点拒绝服务漏洞 |
| CVE-2026-77831 | 2.1 LOW | AshPaperTrail全量差异列表算法复杂度拒绝服务 |
| CVE-2026-77846 | 2.1 LOW | AshSqlite JSON路径注入漏洞 |
| CVE-2026-81318 | 2.1 LOW | AshSql 不同租户数据泄露漏洞 |
| CVE-2026-78691 | 2.1 LOW | AshSql 字符串搜索 LIKE 通配符注入漏洞 |
| CVE-2026-80227 | 2.1 LOW | Ash SQL 字符串修剪逻辑与内存处理不一致 |
| CVE-2026-81316 | 2.1 LOW | AshSql 同名聚合混淆漏洞 |
IV. Related Vulnerabilities
Same product: ash_cloak
V. Comments for CVE-2026-81322
暂无评论