Vulnerabilidades de Davidalmeidac

sealed-env é uma biblioteca de gerenciamento de segredos cross-stack e zero-trust para Node.js e Java/Spring Boot. No modo enterprise do sealed-env, as versões 0.1.0-alpha.1 até 0.1.0-alpha.3 incorporavam o segredo TOTP literal do operador no payload JWS de cada token de desselagem emitido. O payload JWS é JSON codificado em base64, NÃO criptografado. Qualquer parte que pudesse observar um token emitido (logs de build de CI, dumps de variáveis de ambiente de contêineres, saídas de descrição de pods no Kubernetes, stack traces do Sentry/Rollbar, agregadores de logs) poderia decodificar o payload e extrair o segredo TOTP em texto claro. Esta vulnerabilidade foi corrigida na versão 0.1.0-alpha.4.