CWE-532

Plik logu acer_cgi.log w firmware urządzenia jest dostępny bez uwierzytelnienia przez interfejs webowy i zawiera dane logowania w postaci jawnego tekstu. Umożliwia to nieautoryzowany dostęp do systemu przez atakującego zdalnie.

MySQL for PCF w wersjach 1.7.x przed 1.7.10 zapisywał klucz dostępowy AWS (AWS access key) w postaci niezaszyfrowanego tekstu jawnego w logach komponentu Service Backup. Ujawnienie tych danych uwierzytelniających mogłoby umożliwić nieautoryzowany dostęp do zasobów AWS powiązanego konta.

Podatność klasy CWE-532 (Insertion of Sensitive Information into Log File) w rodzinie macierzy Hitachi Virtual Storage Platform umożliwia lokalnym użytkownikom uzyskanie dostępu do wrażliwych informacji przechowywanych w plikach logów. Wysoki wynik CVSS 9.9 wynika z szerokiego zakresu wpływu (Scope: Changed) oraz możliwości naruszenia poufności, integralności i dostępności systemu.

Podatność w Argo CD powoduje ujawnienie pełnej zawartości sekretów klastra Kubernetes poprzez adnotację `kubectl.kubernetes.io/last-applied-configuration`. W przypadku konfiguracji opartej na tokenach uwierzytelniających (bearer-token auth) może to prowadzić do przejęcia dostępu do zarządzanych klastrów.

Podatność w akcji GitHub check-spelling pozwala atakującemu na wyciągnięcie tokena GITHUB_TOKEN poprzez spreparowany Pull Request, gdy akcja działa w trybie pull_request_target lub schedule. Posiadając token, atakujący może przejąć kontrolę nad repozytorium i uzyskać dostęp do wszystkich przechowywanych sekretów.

Platforma agentic AI JunoClaw (oparta na Juno Network) przed wersją 0.x.y-security-1 przekazywała mnemonik BIP-39 (seed wallet) jako jawny parametr tekstowy w wywołaniach narzędzi MCP. Oznacza to, że klucz kryptograficzny do portfela był zapisywany w logach, telemetrii i ruchu sieciowym pomiędzy dostawcą LLM a procesem MCP.

W silniku wnioskowania vLLM (wersje od 0.8.3 do przed 0.14.1) błędnie przetworzone żądanie z nieprawidłowym obrazem powoduje wyciek adresu sterty do klienta, skutecznie redukując ochronę ASLR. Podatność może być łączona z przepełnieniem sterty w dekoderze JPEG2000 (OpenCV/FFmpeg), co prowadzi do zdalnego wykonania kodu (RCE).

Plugin CE21 Suite dla WordPress (do wersji 2.3.1 włącznie) zapisuje wrażliwe dane, w tym dane uwierzytelniające, w publicznie dostępnym pliku logu. Nieuwierzytelniony atakujący może odczytać te dane i przejąć konta innych użytkowników, w tym administratorów.

W platformie Valtimo token dostępowy JWT zalogowanego użytkownika jest przesyłany do zewnętrznego serwisu `api.form.io` w nagłówku `x-jwt-token` wskutek błędnej konfiguracji komponentu Form.io. Atakujący, który przechwyci ten token, może pozyskać dane osobowe użytkownika lub wykonywać żądania do API Valtimo w jego imieniu.

Podatność w Graylog przed wersją 4.1.2 powoduje ujawnienie identyfikatorów sesji (Session ID) w plikach logów DEBUG. Atakujący z dostępem do tych logów może przejąć sesję innego użytkownika i uzyskać jego poziom uprawnień.

W Graylog przed wersją 4.1.2 identyfikatory sesji (Session ID) były zapisywane w logu audytu w sposób jawny (CWE-532: Insertion of Sensitive Information into Log File). Atakujący z dostępem do logów może przejąć sesję innego użytkownika i uzyskać jego poziom uprawnień.

Aplikacja Orbitz 19.31.1 dla systemu Android zapisuje nazwę użytkownika i hasło w logach systemowych podczas procesu uwierzytelniania. Atakujący z dostępem do logcat może odczytać te dane w postaci jawnej.

Aplikacja Seesaw Parent and Family 6.2.5 dla systemu Android zapisuje nazwę użytkownika i hasło w logach systemowych podczas uwierzytelniania. Napastnik z dostępem do logcat może odczytać te dane w postaci jawnej.

Aplikacja Rapidgator 0.7.1 na system Android zapisuje nazwę użytkownika i hasło w logach podczas procesu uwierzytelniania. Umożliwia to przechwycenie poświadczeń przez nieuprawnione aplikacje lub osoby mające dostęp do logcat.

Aplikacja PowerSchool Mobile 1.1.8 dla systemu Android zapisuje nazwę użytkownika i hasło w logach podczas procesu uwierzytelniania. Dane te mogą być odczytane przez inne aplikacje lub atakujących z dostępem do logcat.

Aplikacja DoorDash dla systemu Android w wersji do 11.5.2 zapisuje nazwę użytkownika i hasło w logach systemowych podczas procesu uwierzytelniania. Dane te mogą być odczytane przez atakującego za pomocą narzędzia logcat.

Aplikacja Dark Horse Comics 1.3.21 dla systemu Android zapisuje token uwierzytelniający (równoważny nazwie użytkownika i hasłu) w logach systemowych podczas procesu logowania. Atakujący z dostępem do logcat może pozyskać te dane i przejąć kontrolę nad kontem użytkownika.

Podatność w Undertow (wersje poniżej 2.0.20) powoduje, że przy włączonym logowaniu DEBUG dla modułu io.undertow.request.security dane uwierzytelniające użytkowników mogą być zapisywane w plikach logów. Atakujący z dostępem do tych plików może pozyskać poświadczenia i przejąć konta.

W Gallagher Command Centre 8.10 przed wersją 8.10.1092 (MR2) podczas aktualizacji systemu dane uwierzytelniające konta usługi Windows (nazwa użytkownika i hasło) są zapisywane w pliku logu w postaci niezaszyfrowanej. Umożliwia to osobie mającej dostęp do pliku logów przejęcie konta serwisowego i eskalację uprawnień w środowisku.

W serwerze Undertow przed wersją 2.0.21 wykryto podatność powodującą zapisywanie danych uwierzytelniających w postaci jawnego tekstu w plikach logów. Stanowi to poważne zagrożenie dla poufności danych, ponieważ osoby mające dostęp do logów mogą uzyskać dane logowania użytkowników.