CWE-532БазаНеполный
Запись конфиденциальных сведений в файл журнала
Продукт записывает конфиденциальные сведения в файл журнала.
Открыть в каталоге с фильтром CWE →Связанные CAPEC
Связанные уязвимости
CVE-2022-36407Уязвимость вставки конфиденциальной информации в файл журнала в Hitachi Virtual Storage Platform, Hitachi Virtual Storage Platform VP9500, Hitachi Virtual Storage Platform G1000, G1500, Hitachi Virtual Storage Platform F1500, Hitachi Virtual Storage Platform 5100, 5500, 5100H, 5500H, Hitachi Virtual Storage Platform 5200, 5600, 5200H, 5600H, Hitachi Unified Storage VM, Hitachi Virtual Storage Platform G100, G200, G400, G600, G800, Hitachi Virtual Storage Platform F400, F600, F800, Hitachi Virtual Storage Platform G130, G150, G350, G370, G700, G900, Hitachi Virtual Storage Platform F350, F370, F700, F900, Hitachi Virtual Storage Platform E390, E590, E790, E990, E1090, E390H, E590H, E790H, E1090H позволяет локальным пользователям получить конфиденциальную информацию. Эта проблема затрагивает Hitachi Virtual Storage Platform: до DKCMAIN Ver. 70-06-74-00/00, SVP Ver. 70-06-58/00; Hitachi Virtual Storage Platform VP9500: до DKCMAIN Ver. 70-06-74-00/00, SVP Ver. 70-06-58/00; Hitachi Virtual Storage Platform G1000, G1500: до DKCMAIN Ver. 80-06-92-00/00, SVP Ver. 80-06-87/00; Hitachi Virtual Storage Platform F1500: до DKCMAIN Ver. 80-06-92-00/00, SVP Ver. 80-06-87/00; Hitachi Virtual Storage Platform 5100, 5500,5100H, 5500H: до DKCMAIN Ver. 90-08-81-00/00, SVP Ver. 90-08-81/00, до DKCMAIN Ver. 90-08-62-00/00, SVP Ver. 90-08-62/00, до DKCMAIN Ver. 90-08-43-00/00, SVP Ver. 90-08-43/00; Hitachi Virtual Storage Platform 5200, 5600,5200H, 5600H: до DKCMAIN Ver. 90-08-81-00/00, SVP Ver. 90-08-81/00, до DKCMAIN Ver. 90-08-62-00/00, SVP Ver. 90-08-62/00, до DKCMAIN Ver. 90-08-43-00/00, SVP Ver. 90-08-43/00; Hitachi Unified Storage VM: до DKCMAIN Ver. 73-03-75-X0/00, SVP Ver. 73-03-74/00, до DKCMAIN Ver. 73(75)-03-75-X0/00, SVP Ver. 73(75)-03-74/00; Hitachi Virtual Storage Platform G100, G200, G400, G600, G800: до DKCMAIN Ver. 83-06-19-X0/00, SVP Ver. 83-06-20-X0/00, до DKCMAIN Ver. 83-05-47-X0/00, SVP Ver. 83-05-51-X0/00; Hitachi Virtual Storage Platform F400, F600, F800: до DKCMAIN Ver. 83-06-19-X0/00, SVP Ver. 83-06-20-X0/00, до DKCMAIN Ver. 83-05-47-X0/00, SVP Ver. 83-05-51-X0/00; Hitachi Virtual Storage Platform G130, G150, G350, G370, G700, G900: до DKCMAIN Ver. 88-08-09-XX/00, SVP Ver. 88-08-11-X0/02; Hitachi Virtual Storage Platform F350, F370, F700, F900: до DKCMAIN Ver. 88-08-09-XX/00, SVP Ver. 88-08-11-X0/02; Hitachi Virtual Storage Platform E390, E590, E790, E990, E1090, E390H, E590H, E790H, E1090H: до DKCMAIN Ver. 93-06-81-X0/00, SVP Ver. 93-06-81-X0/00, до DKCMAIN Ver. 93-06-62-X0/00, SVP Ver. 93-06-62-X0/00, до DKCMAIN Ver. 93-06-43-X0/00, SVP Ver. 93-06-43-X0/00.
CVE-2021-32724check-spelling — это действие GitHub, которое обеспечивает проверку орфографии CI. В уязвимых версиях и для репозитория с включенным [действием check-spelling](https://github.com/marketplace/actions/check-spelling), которое запускается при `pull_request_target` (или `schedule`), злоумышленник может отправить специально созданный запрос на включение внесенных изменений, который приведет к раскрытию `GITHUB_TOKEN`. С помощью `GITHUB_TOKEN` можно отправлять коммиты в репозиторий, минуя стандартные процессы утверждения. Затем коммиты в репозиторий могут украсть любые/все секреты, доступные репозиторию. В качестве обходного пути пользователи могут либо: [Отключить рабочий процесс](https://docs.github.com/en/actions/managing-workflow-runs/disabling-and-enabling-a-workflow), пока вы не исправите все ветки, либо установить для репозитория [Разрешить определенные действия](https://docs.github.com/en/github/administering-a-repository/managing-repository-settings/disabling-or-limiting-github-actions-for-a-repository#allowing-specific-actions-to-run). check-spelling не является проверенным создателем и, конечно, не будет им в ближайшее время. Затем вы можете явно добавить другие действия, которые использует ваш репозиторий. Установите для репозитория [Разрешения рабочего процесса](https://docs.github.com/en/github/administering-a-repository/managing-repository-settings/disabling-or-limiting-github-actions-for-a-repository#setting-the-permissions-of-the-github_token-for-your-repository) значение `Разрешение на чтение содержимого репозитория`. Рабочие процессы, использующие `check-spelling/check-spelling@main`, получат исправление автоматически. Рабочим процессам, использующим закрепленный sha или помеченную версию, необходимо будет изменить затронутые рабочие процессы для всех веток репозитория на последнюю версию. Пользователи могут проверить, кто и какие запросы на включение внесенных изменений запускали действие, посмотрев действие spelling.yml на вкладке «Действия» своих репозиториев, например, https://github.com/check-spelling/check-spelling/actions/workflows/spelling.yml — вы можете отфильтровать запросы на включение внесенных изменений, добавив ?query=event%3Apull_request_target, например, https://github.com/check-spelling/check-spelling/actions/workflows/spelling.yml?query=event%3Apull_request_target.
CVE-2026-22778vLLM is an inference and serving engine for large language models (LLMs). From 0.8.3 to before 0.14.1, when an invalid image is sent to vLLM's multimodal endpoint, PIL throws an error. vLLM returns this error to the client, leaking a heap address. With this leak, we reduce ASLR from 4 billion guesses to ~8 guesses. This vulnerability can be chained a heap overflow with JPEG2000 decoder in OpenCV/FFmpeg to achieve remote code execution. This vulnerability is fixed in 0.14.1.
CVE-2025-11008The CE21 Suite plugin for WordPress is vulnerable to Sensitive Information Exposure in all versions up to, and including, 2.3.1 via the log file. This makes it possible for unauthenticated attackers to extract sensitive data including authentication credentials, which can be used to log in as other users as long as they have used the plugin's custom authentication feature before. This may include administrators, which makes a complete site takeover possible.
CVE-2024-34706Valtimo — это платформа управления бизнес-процессами и кейсами с открытым исходным кодом. При открытии формы в Valtimo токен доступа (JWT) пользователя предоставляется `api.form.io` через заголовок `x-jwt-token`. Злоумышленник может получить личную информацию из этого токена или использовать его для выполнения запросов к API Valtimo REST от имени вошедшего в систему пользователя. Эта проблема вызвана неправильной конфигурацией компонента Form.io.
Чтобы выполнить эту атаку, необходимо выполнить следующие условия. Злоумышленнику необходимо иметь доступ к сетевому трафику в домене `api.form.io`; содержимое заголовка `x-jwt-token` регистрируется или иным образом доступно злоумышленнику; злоумышленнику необходим сетевой доступ к API Valtimo; и злоумышленнику необходимо действовать в течение времени жизни токена доступа. TTL по умолчанию в Keycloak составляет 5 минут.
Версии 10.8.4, 11.1.6 и 11.2.2 были исправлены.
CVE-2021-37760Утечка Session ID в журнале аудита в Graylog до версии 4.1.2 позволяет злоумышленникам повышать привилегии (до уровня доступа утекшего Session ID).
CVE-2021-37759Утечка Session ID в файле журнала DEBUG в Graylog до версии 4.1.2 позволяет злоумышленникам повышать привилегии (до уровня доступа утекшего Session ID).
CVE-2020-11094Плагин October CMS debugbar версий до 3.1.0 содержит функцию, с помощью которой он будет регистрировать все запросы (и всю информацию, относящуюся к каждому запросу, включая данные сеанса) всякий раз, когда он включен. Это представляет проблему, если плагин когда-либо будет включен в системе, открытой для ненадежных пользователей, поскольку существует вероятность того, что они смогут использовать эту функцию для просмотра всех запросов, отправляемых в приложение, и получения конфиденциальной информации из этих запросов. Существует даже возможность захвата учетных записей аутентифицированных пользователей неаутентифицированными общедоступными пользователями, что затем приведет к ряду других потенциальных проблем, поскольку злоумышленник теоретически может получить полный доступ к системе при наличии необходимых условий. Проблема была исправлена в версии 3.1.0 путем блокировки доступа к панели отладки для всех пользователей; теперь для ее использования требуется аутентифицированный серверный пользователь со специально включенным разрешением, а функция, которая позволяет получить доступ к хранимой информации о запросах, ограничена другим разрешением, которое является более ограничительным.
CVE-2019-4008API Connect V2018.1 - 2018.4.1.1 подвержен утечке токена доступа. Токены авторизации в некоторых URL-адресах могут привести к записи токенов в файлы журналов. IBM X-Force ID: 155626.
CVE-2019-17398В приложении Dark Horse Comics 1.3.21 для Android информация о токене (эквивалентная имени пользователя и паролю) сохраняется в журнале во время аутентификации и может быть доступна злоумышленникам через logcat.
CVE-2019-17397В приложении DoorDash до версии 11.5.2 для Android имя пользователя и пароль сохраняются в журнале во время аутентификации и могут быть доступны злоумышленникам через logcat.
CVE-2019-17396В приложении PowerSchool Mobile 1.1.8 для Android имя пользователя и пароль сохраняются в журнале во время аутентификации и могут быть доступны злоумышленникам через logcat.
CVE-2019-17395В приложении Rapid Gator 0.7.1 для Android имя пользователя и пароль сохраняются в журнале во время аутентификации и могут быть доступны злоумышленникам через logcat.
CVE-2019-17394В приложении Seesaw Parent and Family 6.2.5 для Android имя пользователя и пароль сохраняются в журнале во время аутентификации и могут быть доступны злоумышленникам через logcat.
CVE-2019-17355В приложении Orbitz 19.31.1 для Android имя пользователя и пароль сохраняются в журнале во время аутентификации и могут быть доступны злоумышленникам через logcat.