O componente `Sanitizer` no atuador do ambiente redigirá os valores de configuração, combinando o nome da tecla de configuração com uma lista de sufixos. A lista padrão (`password`, `secret`, `key`, `token`, `.*credentials.*`, `vcap_services`) não cobre o padrão padrão.NET `ConnectionStrings: ` ou Steeltoe Connectors' `Steeltoe:Client: :Default:ConnectionString`. Não há lavagem baseada em valores, assim os valores de string de conexão completa incluindo `Password=' e `user:pass@ host` são retornados textualmente nas respostas `/ actuator/env`. Qualquer chamada que possa alcançar `/atuador/env` pode receber strings de conexão contendo credenciais de texto simples. Essas credenciais habilitam a conexão direta com o banco de dados de apoio, evitando o nível de aplicação. Configuração afetada. - A configuração do aplicativo contém credenciais em `ConnectionStrings:*` ou `*:ConnectionString` keys. - Na implantação padrão: `env` é adicionada a `Gestão:Endpoints:Atuador:Exposure:Include`. Este não é o padrão. - Na Cloud Foundry: o caminho `/ cloudfoundryapplication/ env` é acessível a qualquer usuário CF autenticado com permissões `read_basic_ data` (Space Auditor e acima) independentemente da configuração da exposição.
Se não for possível uma atualização imediata. - No caminho padrão, remover `env` da lista de exposição do atuador. - Adicionar `.*connectionstring.*` para `KeysToSanitize` como uma medida de defesa em profundidade para ambos os caminhos. - Exige autorização nos endpoints do atuador. Registro de aconselhamento: GHSA-q 62 h- 354 g- 5 r 85. Identificadores relacionados: CVE- 2026 - 50200.
Tempo: GitHub Advisory Database publicou este registro em 2026 - 07 - 02 T 20: 31: 11.000 Z e lista a sua última modificação como 2026 - 07 - 02 T 20: 31: 11.000 Z. Severidade: ALTAMENTE. Dados de pontuação publicados: CVSS_V 3: CVSS: 3.1 /AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N.
Informações sobre software e versão afetadas: NuGet pacote Steeltoe.Gestão.Endpoint — ECOSISTEM: introduzido 0, corrigido 4.2.0. NuGet pacote Steeltoe.Management.EndpointCore — ECOSISTEM: introduzido 0, corrigido 3.4.0. Classificação e evidência: identificadores de fraqueza CWE- 200, CWE- 319. O registro contém 5 suporte de referências nestes tipos: WEB, AVISO, EMBALAGAMENTO.