p PatchFirst

CVE-2026-22798

CVE-2026-22798 · hermes's raw options logging may disclose secrets passed in via subcommand options argument

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

hermes is an implementation of the HERMES workflow to automatize software publication with rich metadata. From 0.8.1 to before 0.9.1, hermes subcommands take arbitrary options under the -O argument. These have been logged in raw form. If users provide sensitive data such as API tokens (e.g., via hermes deposit -O invenio_rdm.auth_token SECRET), these are written to the log file in plain text, making them available to whoever can access the log file. This vulnerability is fixed in 0.9.1.

CVSS 5.9 · Средний · EPSS 0,2% · Есть исправление

Опубликовано
Обновлено

Стек: python

Затронутые продукты и версии

  • hermes

    Версии
    • >= 0.8.1, < 0.9.1: Затронуто

    Нет опубликованного исправления

  • hermes PyPI

    Версии
    • 0.8.1
    • 0.9.0
    Затронутые диапазоны версий
    • ECOSYSTEM: ≥ 0.8.1, < 0.9.1

    Обновитесь до 0.9.1

Первоисточники

Проверьте свой сервер →