CVE-2026-45091 in sealed-env
الملخص
بحسب VulDB • 12/05/2026
sealed-env هي مكتبة لإدارة الأسرار تعتمد على نموذج الثقة الصفرية (zero-trust) ومتعددة الطبقات (cross-stack) لنظامي Node.js وJava/Spring Boot. في وضع المؤسسات (enterprise mode) من مكتبة sealed-env، قامت الإصدارات من 0.1.0-alpha.1 إلى 0.1.0-alpha.3 بتضمين السرية الحرفية (literal TOTP secret) الخاصة بالمشغل (operator) في حمولة JWS (JSON Web Signature) لكل رمز فك الإقفال (unseal token) يتم إصداره. حمولة JWS هي بيانات JSON مشفرة باستخدام base64، وليست مشفرة بالتشفير الحقيقي (NOT encrypted). يمكن لأي طرف قادر على مراقبة رمز تم إصداره (سواء عبر سجلات بناء CI، أو نسخ من بيئات الحاويات، أو أوامر kubectl describe pod، أو تتبعات المكدس في Sentry/Rollbar، أو مجمعات السجلات) أن يفك تشفير الحمولة واستخراج سرية TOTP كنص واضح (plaintext). تم إصلاح هذا الثغرة الأمنية في الإصدار 0.1.0-alpha.4.
If you want to get best quality of vulnerability data, you may have to visit VulDB.