CVE-2026-45091
Təsvir
sealed-env Node.js və Java/Spring Boot üçün çarpaz stekli, sıfır etibarlı (zero-trust) gizli məlumatların idarəetmə kitabxanasıdır. sealed-env müəssisə rejimində, 0.1.0-alpha.1-dən 0.1.0-alpha.3-ə qədər olan versiyalarda operatorun hərfi TOTP sirri yaradılan hər bir açma (unseal) tokeninin JWS faydalı yükünə daxil edilmişdir. JWS faydalı yükü base64 ilə kodlaşdırılmış JSON-dur, şifrələnməmişdir. Yaradılmış tokeni müşahidə edə bilən istənilən tərəf (CI qurulma loqları, konteyner mühit dump-ları, kubectl describe pod, Sentry/Rollbar stek izləri, loq aqreqatorları) faydalı yükü dekod edə və TOTP sirrini açıq mətn formatında əldə edə bilərdi. Bu zəiflik 0.1.0-alpha.4 versiyasında aradan qaldırılıb.
Necə düzəltmək olar
- sealed-env0.1.0-alpha.4 və ya daha yeni versiya
- io.github.davidalmeidac:sealed-env-core0.1.0-alpha.4 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| sealed-envnpm | v < 0.1.0-alpha.4 | 0.1.0-alpha.4 |
| io.github.davidalmeidac:sealed-env-coreMaven | v < 0.1.0-alpha.4 | 0.1.0-alpha.4 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.