ホーム
» GitHub Security Advisories
» GHSA-jf4f-rr2c-9m58
説明
Impact
When SpiceDB starts with log level info, the startup "configuration" log will include the full datastore DSN, including the plaintext password, inside DatastoreConfig.URI.
Patches
v1.51.1
Workarounds
Change the log level to warn or error.
基本情報
タイプ
reviewed
深刻度
medium GitHub 上のアドバイザリ
アドバイザリを開く ↗ リポジトリのアドバイザリ
リポジトリのアドバイザリを開く ↗ ソースコード
ソースを見る ↗ 公開（アドバイザリ）
2026-04-14 22:33:06 UTC
更新
2026-05-28 07:56:29 UTC
GitHub レビュー済み
2026-04-14 22:33:06 UTC
NVD で公開
2026-04-15
EPSS Score
Score
Percentile
0.02%
4.12%
CVSS Scores
Base score
Version
Severity
Vector
6.0
3.1
—
CVSS:3.1/AV:L/AC:L/PR:H/UI:N/S:C/C:H/I:N/A:N
クリックして展開
攻撃ベクター (AV:L)
対象ホスト上でコードを実行できること、または別ユーザーの誤操作・悪意ある操作が前提になる。
攻撃の複雑さ (AC:L)
攻撃者が条件を満たせば、レース条件や珍しい構成に依存せずに再現しやすい。
必要な権限 (PR:H)
管理者・SYSTEM など、強い権限を握った状態からでないと実害に結びつきにくい。
ユーザーの関与 (UI:N)
メールのリンクを開く、マクロを有効にするなど、被害者の協力がなくても成立しうる。
スコープ (S:C)
脆弱箇所を足がかりに、別コンポーネントや別権限域まで影響が広がりうる。
機密性への影響 (C:H)
広範な機微データの読み取りや持ち出しが現実的。
完全性への影響 (I:N)
改ざん・なりすましによる信頼毀損は軽微か、想定されない。
可用性への影響 (A:N)
業務継続に支障が出るレベルの停止や劣化は想定されない。
CWEs
CWE id
Name
CWE-532
Insertion of Sensitive Information into Log File
Credits
juupas
(reporter)
miparnisari
(remediation_developer)
Affected packages (1)
Vulnerable version ranges and first patched releases as published by GitHub.
Ecosystem
Package
Vulnerable range
First patched
Vulnerable functions
go
github.com/authzed/spicedb >= 1.49.0, <= 1.51.0
1.51.1
—
cvelogic
Threat Intelligence