33 lines
2.4 KiB
JSON
33 lines
2.4 KiB
JSON
[
|
||
{
|
||
"location": "app/lib/gitea.js:28",
|
||
"role": "Assassin",
|
||
"original_finding": "Gitea API 請求在 headers 中直接放入了 `this.token`，若來源於不可信輸入且未經驗證，將導致 token 洩漏風險。",
|
||
"reason": "token 來自受信任的 `gitea.token`（CI 自動注入）而非使用者輸入；`_request` 從未將 headers 或 request 物件輸出到日誌，無實際洩漏路徑。錯誤訊息可能夾帶 token 的真正風險已於 index.js 頂層 catch 以 maskSecrets 遮蔽處理。"
|
||
},
|
||
{
|
||
"location": "app/lib/gitea.js:52",
|
||
"role": "Mage",
|
||
"original_finding": "findOpenPull 僅撈取前 50 個 PR，數量眾多可能導致重複建立；且 _request GET 未對回傳 json 結構嚴格驗證。",
|
||
"reason": "重複建立由 Gitea 在 POST 時回傳 422/409 阻擋，findOpenPull 僅在收到 422/409 後用於查回既有 PR 編號（fallback），分頁與否不影響是否重複建立。JSON 結構已透過 `if (!ok || !Array.isArray(json)) return null` 與 `_request` 的 try/catch 防禦驗證。"
|
||
},
|
||
{
|
||
"location": "app/lib/git.js:52",
|
||
"role": "Assassin",
|
||
"original_finding": "使用不可信的 remoteUrl 進行 fetch 操作存在 git 協定漏洞風險，建議驗證 remoteUrl 是否為預期 Gitea 網域。",
|
||
"reason": "remoteUrl 由 `${serverUrl}/${owner}/${repo}.git` 組成，serverUrl 來自受信任的 `gitea.server_url`（CI 環境變數），並非任意使用者輸入；且已使用 `--no-tags` 限制 refspec。容器基底為 node:20-bookworm-slim，git 版本為近期版本。"
|
||
},
|
||
{
|
||
"location": "app/lib/git.js:63",
|
||
"role": "Rogue",
|
||
"original_finding": "getCommitMessages 使用 `git log --max-count=50`，數量可能不足或過多。",
|
||
"reason": "50 筆為 PR 摘要的合理預設上限，非缺陷；改用 `--since` 屬使用場景偏好調整，無明確需求佐證，不在本次修復範圍。"
|
||
},
|
||
{
|
||
"location": "app/lib/util.js:14",
|
||
"role": "Rogue",
|
||
"original_finding": "run 函式 maxBuffer 設為 64MB，git diff 內容極大時易引發 OOM，建議改用 stream。",
|
||
"reason": "run() 採同步 spawnSync 為刻意設計（所有呼叫端皆同步取用 result.stdout）；maxBuffer 為上限保護而非預先配置，僅在輸出達該量時才佔用；傳給 opencode 的 diff 已於 index.js 以 maxDiffChars 截斷。改為 stream 屬大規模架構重構，牽涉設計取捨。"
|
||
}
|
||
]
|