CVE-2025-4166

Опубликовано: 02 мая 2025

Источник: nvd

CVSS3: 4.5

CVSS3: 6.5

EPSS Низкий

Описание

Vault Community and Vault Enterprise Key/Value (kv) Version 2 plugin may unintentionally expose sensitive information in server and audit logs when users submit malformed payloads during secret creation or update operations via the Vault REST API. This vulnerability, identified as CVE-2025-4166, is fixed in Vault Community 1.19.3 and Vault Enterprise 1.19.3, 1.18.9, 1.17.16, 1.16.20.

Ссылки

https://discuss.hashicorp.com/t/hcsec-2025-09-vault-may-expose-sensitive-information-in-error-logs-when-processing-malformed-data-with-the-kv-v2-plugin
Vendor Advisory

Уязвимые конфигурации

Конфигурация 1

Одно из

cpe:2.3:a:hashicorp:vault:*:*:*:*:enterprise:*:*:*

Версия от 0.3.0 (включая) до 1.16.20 (исключая)

cpe:2.3:a:hashicorp:vault:*:*:*:*:-:*:*:*

Версия от 0.3.0 (включая) до 1.19.3 (исключая)

cpe:2.3:a:hashicorp:vault:*:*:*:*:enterprise:*:*:*

Версия от 1.17.0 (включая) до 1.17.16 (исключая)

cpe:2.3:a:hashicorp:vault:*:*:*:*:enterprise:*:*:*

Версия от 1.18.0 (включая) до 1.18.9 (исключая)

cpe:2.3:a:hashicorp:vault:*:*:*:*:enterprise:*:*:*

Версия от 1.19.0 (включая) до 1.19.3 (исключая)

EPSS

Процентиль: 2%

0.00015

Низкий

4.5 Medium

CVSS3

6.5 Medium

CVSS3

Дефекты

CWE-209

Связанные уязвимости

CVE-2025-4166

CVSS3: 4.5

redhat

4 месяца назад

ROS-20250616-10

CVSS3: 4.5

redos

2 месяца назад

Уязвимость vault

GHSA-gcqf-f89c-68hv

CVSS3: 4.5

github

4 месяца назад

Hashicorp Vault Community vulnerable to Generation of Error Message Containing Sensitive Information

BDU:2025-06973

CVSS3: 4.5

fstec

4 месяца назад

Уязвимость плагина KVv2 платформ для архивирования корпоративной информации Vault Community Edition и Vault Enterprise, позволяющая нарушителю получить несанкциоинрованный доступ к защищаемой информации

EPSS

Процентиль: 2%

0.00015

Низкий

4.5 Medium

CVSS3

6.5 Medium

CVSS3

Дефекты

CWE-209