Exposure of sensitive Slack webhook URLs in debug logs and traces
Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.
A biblioteca Slack Morphism estava registrando URLs sensíveis de webhooks nos logs de depuração, o que poderia expor tokens privados de autenticação do Slack se alguém acessasse esses registros. Isso é perigoso porque qualquer pessoa com acesso aos logs poderia usar essas URLs para enviar mensagens não autorizadas para canais do Slack.
Vulnerabilidade CWE-1258 nas versões anteriores a 1.3.2 do Slack Morphism, onde a funcionalidade de logging de depuração expõe inadvertidamente URLs de webhook contendo credenciais de autenticação. O vetor de ataque requer acesso local ou remoto aos logs de depuração; o impacto inclui invocações de webhook não autorizadas e potencial movimento lateral dentro dos workspaces do Slack. Corrigido pela implementação de redação de URL na saída de depuração.