FixVibe
Covered by FixVibehigh

API Leakage Key: Loza sy Fanarenana amin'ny Apps Web Modern

Ny tsiambaratelon'ny kaody sarotra amin'ny kaody eo anoloana na ny tantaran'ny fitehirizana dia ahafahan'ny mpanafika haka tahaka ny serivisy, miditra amin'ny angona manokana ary mandany vola. Ity lahatsoratra ity dia mirakitra ny loza ateraky ny fivoahana miafina sy ny dingana ilaina amin'ny fanadiovana sy ny fisorohana.

CWE-798

Fiantraikany

Ny famoahana tsiambaratelo toy ny fanalahidin'ny API, ny mari-pamantarana, na ny mari-pamantarana dia mety hitarika amin'ny fidirana tsy nahazoana alalana amin'ny angon-drakitra saro-pady, fakan-tahaka serivisy ary fatiantoka ara-bola lehibe noho ny fanararaotana ny loharanon-karena [S1]. Raha vao misy tsiambaratelo atolotra amin'ny tahiry ho an'ny daholobe na atambatra ao anaty fampiharana eo anoloana, dia tokony hoheverina ho [S1] izany.

Antony fototra

Ny antony fototra dia ny fampidirana ireo mari-pankasitrahana saro-pady mivantana ao amin'ny kaody loharano na fisie fikirakirana izay atolotra amin'ny fanaraha-maso ny dikan-teny na atolotra ho an'ny mpanjifa [S1]. Matetika ny mpandrindra ny fanalahidin'ny kaody sarotra ho an'ny fanamorana mandritra ny fampivoarana na tsy nahy mampiditra rakitra .env ao amin'ny [S1].

Fanamboarana simenitra

  • Rotate compromised Secrets: Raha misy tsiambaratelo tafaporitsaka dia tsy maintsy esorina sy soloina avy hatrany. Ny fanesorana fotsiny ny tsiambaratelo amin'ny dikan-teny ankehitriny dia tsy ampy satria mijanona ao amin'ny tantaran'ny fanaraha-maso ny dikan-[S1][S2].
  • Mampiasà Variable Tontolo Iainana: Mitahiry tsiambaratelo ao amin'ny fari-piainan'ny tontolo iainana fa tsy manao kaody sarotra. Ataovy azo antoka fa ampidirina amin'ny .gitignore ny rakitra .env mba hisorohana ny fanaovana [S1] tsy nahy.
  • Ampiharo ny Fitantanana Tsiambaratelo: Mampiasà fitaovana fitantanana miafina na serivisy vault natokana mba hampidirana ny fahazoan-dàlana ao amin'ny tontolo fampiharana amin'ny fotoanan'ny [S1].
  • Purge Repository History: Raha misy tsiambaratelo natokana ho an'ny Git dia ampiasao fitaovana toy ny git-filter-repo na ny BFG Repo-Cleaner hanesorana mandrakizay ireo angona saro-pady amin'ny sampana sy marika rehetra ao amin'ny tantaran'ny fitahirizana [S2].

Ahoana no andrana FixVibe momba izany

FixVibe izao dia mampiditra izany amin'ny scan mivantana. Ny secrets.js-bundle-sweep passive dia misintona amboara JavaScript mitovy niaviany ary mifanandrify amin'ny famaha API fantatra amin'ny lakile, mari-pamantarana ary mari-pamantarana miaraka amin'ny vavahady entropy sy placeholder. Ny fanaraha-maso mivantana mifandraika amin'izany dia manara-maso ny fitahirizana navigateur, sarintany loharano, auth ary BaaS fonosana mpanjifa, ary GitHub lamina loharano repo. Ny fanoratana tantara Git dia mijanona ho dingana fanarenana; Ny fandrakofana mivantana an'i FixVibe dia mifantoka amin'ny tsiambaratelo misy ao amin'ny fananana nalefa, fitahirizana navigateur, ary ny atiny repo ankehitriny.