ADR de Mitigação de Vulnerabilidade no Fluxo de Redefinição de Credenciais (CVE-2026-18963) — Pacote 5 Arquivos

Pacote completo e pronto para venda de 5 arquivos complementares para arquitetos de segurança, tech leads e times de plataforma que precisam transformar o CVE-2026-18963 (bypass no fluxo reset-credentials do Keycloak/Red Hat Build, CVSS 9.1, account takeover por atacante não autenticado) em um ADR executável e acionável.

Este NÃO é um prompt solto: é um sistema multi-arquivo no mesmo padrão que um engenheiro de IA usa para levar um agente a alta precisão numa tarefa real de arquitetura. Cada arquivo tem um papel específico e eles se reforçam mutuamente:

• 01-prompt-principal.md — o prompt reusável com persona de Arquiteto de Segurança Sênior, objetivo, schema Markdown OBRIGATÓRIO de saída (ADR completo) e passo a passo de raciocínio em 8 etapas (triagem do CVE >> modelo mental do atacante >> mapa do fluxo >> lacunas >> mitigações em camadas >> schema >> harness).
• 02-regras-e-restricoes.md — 20 guardrails imperativos numerados: o que o modelo NUNCA deve fazer (nunca inventar CVE/CVSS/versões/RFCs, nunca desabilitar segurança, nunca drop-atar UX sem compensação) e como tratar casos de borda conhecidos com um formato de erro exato.
• 03-contexto-e-exemplos.md — glossário de domínio IAM/OIDC (reset token, verificação out-of-band, vetor CVSS, PKCE/state, ATO, defense-in-depth), premissas de ambiente e 3 exemplos few-shot input->output, incluindo um caso difícil de borda (conflito janela de reenvio de e-mail x expiração do token).
• 04-harness-de-verificacao.md — checklist de autoverificação em 12 pontos que o modelo roda ANTES de entregar (conformidade com schema, anti-alucinação, defense-in-depth real) mais 10 critérios de aceite objetivos que VOCÊ usa para validar as saídas (ex.: um curl no endpoint de confirmação sem token válido deve receber 400/401/409).
• 05-variacoes.md — 4 templates de variação: versão executiva de 1 página, adaptação SPA/API-first com PKCE, adaptação para outro provedor (Auth0/Azure AD B2C/Cognito) e saída estruturada JSON para pipelines.

O pacote inclui ainda 2 diagramas SVG ilustrando o fluxo vulnerável vs. a arquitetura alvo com defesa em profundidade (integridade de fluxo, anti-bypass, detecção e recuperação).

Resultado: um ADR completo, em pt-BR, com contexto, problema, drivers, decisão em camadas, alternativas com trade-offs, consequências, riscos residuais, plano de implementação, testes de segurança, critérios de aceite e rollback — reduzindo drasticamente a volta de revisões de arquitetura e elevando a segurança do fluxo de redefinição de credenciais a um padrão defensável em auditoria.