Куда я попал?
SECURITM это SGRC система, ? автоматизирующая процессы в службах информационной безопасности. SECURITM помогает построить и управлять ИСПДн, КИИ, ГИС, СМИБ/СУИБ, банковскими системами защиты.
А еще SECURITM это место для обмена опытом и наработками для служб безопасности.

CVE-2026-82727

PUBLISHED 31.08.2026

CNA: EEF

AshPhoenix Form.Auto leaks submitted params in an unknown _union_type error message

Обновлено: 31.08.2026
Generation of Error Message Containing Sensitive Information vulnerability in ash-project ash_phoenix writes the entire raw submitted param map into an exception message, so secrets submitted alongside a union form field leak into logs, crash reports and the dev error page. When AshPhoenix.Form.Auto builds a union sub-form and the submitted _union_type does not match a configured type, both raise sites built the message with inspect(params, pretty: true), embedding the full untrusted param map, and also inspected the internal union constraints[:types]. Because the message is constructed by the library rather than Phoenix's parameter logger, config :phoenix, :filter_parameters never redacts it. An attacker controls both the trigger and the contents: submitting %{"_union_type" => "nope", "password" => "..."} puts the password verbatim in the raised message. The fix reports only the offending _union_type and the valid type names, dropping the param and constraints dumps. This issue affects ash_phoenix: from 1.2.17 before 2.3.25.

CWE

Идентификатор Описание
CWE-209 The product generates an error message that includes sensitive information about its environment, users, or associated data.

CVSS

Оценка Severity Версия Базовый вектор
2.3 LOW 4.0 CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N

Доп. Информация

Product Status

ash_phoenix
Product: ash_phoenix
Vendor: ash-project
Default status: unaffected
Версии:
Затронутые версии Статус
Наблюдалось в версиях от 1.2.17 до 2.3.25 affected
СPE:
  • cpe:2.3:a:ash-project:ash_phoenix:*:*:*:*:*:*:*:*
ash_phoenix
Product: ash_phoenix
Vendor: ash-project
Default status: unaffected
Версии:
Затронутые версии Статус
Наблюдалось в версиях от a3436fcc321e3b34c242cceaf62c3c92bc1a452b до 0c1775c3cf8988f9abd10a8f92315afc5f06f16d affected
СPE:
  • cpe:2.3:a:ash-project:ash_phoenix:*:*:*:*:*:*:*:*
 

Ссылки

Мы используем cookie-файлы, чтобы получить статистику, которая помогает нам улучшить сервис для вас с целью персонализации сервисов и предложений. Вы может прочитать подробнее о cookie-файлах или изменить настройки браузера. Продолжая пользоваться сайтом, вы даёте согласие на использование ваших cookie-файлов и соглашаетесь с Политикой обработки персональных данных.