Secrets That Survive Everything: Runtime Credential Exposure in Production Web Applications

arXiv cs.CR · 22 sept, 06:00

Investigadores descubrieron que credenciales en vivo (tokens de Azure AD y claves de API) persisten en bundles JavaScript de aplicaciones web de producción, eludiendo scanners estáticos de secretos. Un análisis de 2,000 activos empresariales reveló que el 5.65% servía credenciales en vivo, y un 13.9% de secretos solo fueron detectados por análisis manual; los nueve scanners evaluados combinados alcanzan solo 86.1% de cobertura. El riesgo crítico es que la cadena completa de tokens de Azure AD puede ser accesible desde código de navegador, permitiendo takeover de cuenta y exposición masiva de datos.