CVE-2026-45091: sealed-env Modo Enterprise: Segredo TOTP Exposto no Payload do Token de Desselagem
A CVE-2026-45091 afeta o modo enterprise do sealed-env, uma biblioteca de gerenciamento de segredos para Node.js e Java/Spring Boot. As versões 0.1.0-alpha.1 até 0.1.0-alpha.3 incluíam o segredo TOTP literal do operador no payload JWS de cada token de desselagem, e esse payload é codificado em base64, não criptografado. O registro indica correção na versão 0.1.0-alpha.4 e pontuação CVSS 3.1 de 9,1 atribuída pelo CNA do GitHub.
Visão geral
A CVE-2026-45091 é classificada como CWE-200 (Exposição de Informações Sensíveis). Segundo o registro, o modo enterprise do sealed-env incorporava o segredo TOTP literal do operador no payload de cada token de desselagem emitido nas versões 0.1.0-alpha.1 até 0.1.0-alpha.3. O payload é JSON codificado em base64 e não é criptografado, então qualquer pessoa que obtenha um token consegue ler o segredo.
Impacto
O CNA do GitHub atribuiu pontuação 9,1 na escala CVSS 3.1, com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N, o que indica vetor de rede, baixa complexidade, nenhum privilégio e nenhuma interação do usuário, com alto impacto em confidencialidade e integridade.
- O valor exposto é o segredo TOTP, descrito no registro como o segredo literal do operador.
- O registro cita locais onde os tokens poderiam ser observados: logs de build de CI, dumps de variáveis de ambiente de contêineres, saídas de descrição de pods no Kubernetes, stack traces de ferramentas de monitoramento de erros e agregadores de logs.
- Como o segredo fica exposto em texto claro, um segundo fator que dependa dele pode ficar enfraquecido enquanto o segredo não for alterado.
Produtos e versões afetados
O registro identifica o modo enterprise do sealed-env como afetado nas versões 0.1.0-alpha.1 até 0.1.0-alpha.3. Os campos estruturados de afetados e correções do registro estão vazios, então a faixa acima vem apenas do texto da descrição.
- Afetadas: 0.1.0-alpha.1 até 0.1.0-alpha.3 (modo enterprise, conforme a descrição).
- Corrigida: 0.1.0-alpha.4, conforme a descrição.
Status de exploração
A CVE não consta no catálogo KEV da CISA. Nenhuma exploração confirmada na natureza aparece nas fontes consultadas. A probabilidade EPSS registrada é 0,00404, com percentil 0,32855, o que estima a chance de atividade de exploração, mas não a confirma.
Correção e mitigação
- Atualize o sealed-env para a versão 0.1.0-alpha.4 ou posterior, conforme o registro.
- Se alguma versão afetada foi usada no modo enterprise, trate o segredo TOTP como potencialmente exposto e considere substituí-lo após a atualização, passo que o registro não prescreve explicitamente.
- Revise onde tokens de desselagem emitidos por versões afetadas podem ter sido armazenados ou transmitidos, como logs de build e configurações de contêineres, e restrinja o acesso a esses locais.
Consulte a GitHub Security Advisory GHSA-x3r2-fj3r-g5mv para os detalhes do fornecedor.
Orientação para detecção
- Pesquise logs de build de CI, capturas de ambiente de contêineres e repositórios centralizados de logs em busca de tokens de desselagem emitidos no período afetado.
- Verifique ferramentas de monitoramento de erros em busca de payloads capturados que contenham material relacionado à autenticação.
- Confirme a versão do sealed-env implantada em cada ambiente e identifique execuções das versões 0.1.0-alpha.1 até 0.1.0-alpha.3 no modo enterprise.
Limitações das informações disponíveis
O registro não possui dados estruturados de versões afetadas ou corrigidas, não tem entrada no KEV e apresenta status de fonte adiado. Os detalhes vêm da descrição e de uma referência de advisory do GitHub. Não é possível saber, pelas fontes consultadas, se algum token foi de fato observado por terceiros.
Perguntas frequentes
Qual é o problema central da CVE-2026-45091?
No modo enterprise, as versões 0.1.0-alpha.1 até 0.1.0-alpha.3 do sealed-env incluíam o segredo TOTP literal do operador no payload dos tokens de desselagem. O payload é codificado em base64, não criptografado, então quem visualizar um token consegue ler o segredo.
Qual versão corrige o problema?
O registro informa que a vulnerabilidade foi corrigida na versão 0.1.0-alpha.4. O campo estruturado de correções está vazio, então essa informação vem apenas da descrição.
Há exploração ativa conhecida desta CVE?
Não. A CVE não consta no catálogo KEV da CISA e nenhuma exploração confirmada aparece nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.