CVE-2026-105963

Nome do Software Vulnerável e Versões Afetadas plug versões 1.6.3 até 1.6.9 plug crypto versões 1.0.0 até 2.2.0

Description Um invasor remoto não autenticado pode expor a base da chave secreta ou outros segredos sensíveis através dos logs da aplicação ao fornecer argumentos com tipos incorretos. Isso ocorre porque as funções públicas em Plug.Crypto utilizam guards no cabeçalho da função para validação de argumentos. Quando um guard falha, a VM Erlang levanta um FunctionClauseError que inclui os valores reais dos argumentos no frame superior da pilha. Como os blocos rescue da biblioteca e a função Plug.Crypto.prune args from stacktrace/1 apenas lidam com exceções levantadas dentro do corpo de uma função, eles não capturam falhas de guard. Consequentemente, o Plug.Cowboy e o Bandit escrevem este frame no log de erros e o anexam como metadados de crash reason, que podem ser encaminhados para rastreadores de erros.

Dois pontos de entrada principais são afetados:

O acesso às informações vazadas requer acesso separado aos logs da aplicação ou ao rastreador de erros.

Recommendations Atualize o plug para a versão 1.7.0 ou posterior. Atualize o plug crypto para a versão 2.2.1 ou posterior. Como solução temporária, valide se os argumentos são binários antes de passá-los para Phoenix.Token.verify/4, Phoenix.Token.decrypt/4, Plug.Crypto.verify/4, Plug.Crypto.decrypt/4 ou Plug.Crypto.secure compare/2. Configure os rastreadores de erros para descartar argumentos do frame da pilha para evitar que segredos sejam encaminhados em relatórios de falhas.