Base de CVEs

O JunoClaw é uma plataforma de IA agêntica construída sobre a Juno Network. Antes de 0.x.y-security-1, toda ferramenta MCP de escrita (send_tokens, execute_contract, instantiate_contract, upload_wasm, ibc_transfer, etc.) aceitava 'mnemonic: string' como parâmetro explícito de chamada de ferramenta. Como resultado, a semente BIP-39 ficava incorporada no JSON de chamada de ferramenta do LLM, expondo-a a qualquer transporte, log ou superfície de telemetria no caminho entre o provedor do LLM e o processo MCP. Esta vulnerabilidade está corrigida em 0.x.y-security-1.

sealed-env é uma biblioteca de gerenciamento de segredos cross-stack e zero-trust para Node.js e Java/Spring Boot. No modo enterprise do sealed-env, as versões 0.1.0-alpha.1 até 0.1.0-alpha.3 incorporavam o segredo TOTP literal do operador no payload JWS de cada token de desselagem emitido. O payload JWS é JSON codificado em base64, NÃO criptografado. Qualquer parte que pudesse observar um token emitido (logs de build de CI, dumps de variáveis de ambiente de contêineres, saídas de descrição de pods no Kubernetes, stack traces do Sentry/Rollbar, agregadores de logs) poderia decodificar o payload e extrair o segredo TOTP em texto claro. Esta vulnerabilidade foi corrigida na versão 0.1.0-alpha.4.