CVE-2026-50200

Steeltoe, kullanıcıların bulut yerli uygulamalar geliştirmesine yardımcı olan bir kütüphane koleksiyonu sağlayan açık kaynaklı bir projedir. 4.2.0 sürümü öncesindeki Steeltoe.Management.Endpoint ve 3.4.0 sürümü öncesindeki Steeltoe.Management.EndpointCore içerisinde, Environment actuator'ındaki `Sanitizer` bileşeni, yapılandırma anahtar adını bir sonek listesiyle eşleştirerek yapılandırma değerlerini gizlemektedir. Varsayılan liste (`password`, `secret`, `key`, `token`, `.*credentials.*`, `vcap_services`), standart .NET deseni olan `ConnectionStrings:<name>` veya Steeltoe Connectors'ın `Steeltoe:Client:<type>:Default:ConnectionString` desenini kapsamamaktadır. Değer tabanlı bir temizleme işlemi yapılmadığından, gömülü `Password=` ve `user:pass@host` bölümleri dahil olmak üzere tam bağlantı dizesi değerleri `/actuator/env` yanıtlarında olduğu gibi döndürülmektedir. Steeltoe.Management.Endpoint 4.2.0 ve Steeltoe.Management.EndpointCore 3.4.0 sürümleri bu sorunu gidermektedir. Hemen yükseltme yapılması mümkün değilse: Standart yolda, `env` ifadesini actuator ifşa listesinden kaldırın; her iki yol için derinlemesine savunma önlemi olarak `KeysToSanitize` kısmına `.*connectionstring.*` ekleyin ve/veya actuator uç noktalarında yetkilendirme şartı koşun.