Security Code Review
Platformă rezervări & comenzi

Locație

src/routes/orders.js:42

Descriere

Endpoint-ul GET /api/orders/:id returnează comanda după ID fără a verifica dacă aparține utilizatorului autentificat. Autentificarea există (requireAuth), dar autorizarea lipsește.

Impact

Orice utilizator logat poate citi comenzile oricui schimbând ID-ul din adresă (/api/orders/1041 → /1042): nume, adrese, produse, sume. Expunere de date personale - încălcare GDPR, raportabilă în 72h.

router.get('/api/orders/:id', requireAuth, async (req, res) => {
  // autentificat, dar NU verifică al cui e comanda
  const order = await db.query(
    'SELECT * FROM orders WHERE id = $1', [req.params.id]);
  res.json(order.rows[0]);
});

router.get('/api/orders/:id', requireAuth, async (req, res) => {
  const order = await db.query(
    'SELECT * FROM orders WHERE id = $1 AND user_id = $2',
    [req.params.id, req.user.id]);
  if (!order.rows[0]) return res.status(404).json({ error: 'Not found' });
  res.json(order.rows[0]);
});

De verificat și în alte părți: același tipar apare probabil la /api/bookings/:id și /api/invoices/:id. Recomand un middleware de verificare a proprietății, aplicat consistent.

Locație

.env (urcat în repo) · istoric git, commit a3f9c2e

Descriere

gitleaks a detectat 3 secrete cu risc ridicat urcate în repository: parola bazei de date, JWT_SECRET, și cheia Stripe sk_live_… (producție, nu test).

Impact

Oricine are acces la repo (angajați, colaboratori, un leak) deține cheile de producție. Cheia Stripe live permite operațiuni financiare reale. Secretele sunt compromise din momentul urcării, indiferent ce se întâmplă de acum.

Locație

src/routes/search.js:19

Descriere

Termenul de căutare al utilizatorului e concatenat direct în interogarea SQL, fără parametrizare.

Impact

?term=' OR 1=1-- returnează toate produsele; injecții mai complexe pot citi alte tabele (utilizatori, comenzi) sau, în funcție de permisiunile bazei, modifica date.

const q = `SELECT * FROM products
           WHERE name LIKE '%${req.query.term}%'`;  // injectabil
const results = await db.query(q);

const results = await db.query(
  'SELECT * FROM products WHERE name LIKE $1',
  [`%${req.query.term}%`]);  // parametrizat

Locație

src/routes/auth.js:28

Descriere

POST /api/login nu are nicio limitare a numărului de încercări. Permite brute-force și credential stuffing nelimitat.

Impact

Un atacator poate încerca mii de parole pe minut. Combinat cu hash-urile slabe din COX-06, conturile cad rapid.

const rateLimit = require('express-rate-limit');
const loginLimiter = rateLimit({
  windowMs: 15 * 60 * 1000, max: 5,   // 5 încercări / 15 min / IP
  message: 'Prea multe încercări. Reîncearcă în 15 minute.'
});
router.post('/api/login', loginLimiter, loginHandler);

Ideal, adaugă lockout progresiv pe cont și autentificare în doi factori (MFA) pentru conturile administrative.

Locație

package.json

Descriere

Trivy a găsit dependențe cu CVE-uri publice:

Impact: variabil, dar jsonwebtoken vechi combinat cu JWT-ul slab din COX-07 e o combinație periculoasă. Remediere: npm audit fix, actualizare la versiunile cu patch, și integrarea trivy sau npm audit în CI ca poartă de blocare la fiecare build.

Locație

src/services/user.js:54

Descriere

Parolele sunt hash-uite cu SHA-256, un algoritm proiectat să fie rapid. Un GPU testează miliarde de hash-uri pe secundă.

Impact

La un eventual leak al bazei de date, parolele utilizatorilor cad în ore. Fără „salt" per utilizator, atacul e și mai eficient.

const hash = crypto.createHash('sha256')
  .update(password).digest('hex');  // rapid = slab pentru parole

const bcrypt = require('bcrypt');
const hash = await bcrypt.hash(password, 12);  // lent, cu salt inclus
// verificare: await bcrypt.compare(password, hash);

Migrare: rehash la următorul login reușit al fiecărui utilizator, transparent.

Locație

src/services/auth.js:12

Descriere

Token-urile JWT sunt semnate cu un secret trivial hardcodat și fără termen de expirare.

Impact

Un token furat e valabil la infinit. Secretul 'secret123' e brute-force-abil → un atacator poate forja token-uri valide pentru orice utilizator, inclusiv admin.

jwt.sign({ userId: user.id }, 'secret123');  // secret slab, fără expirare

jwt.sign(
  { userId: user.id },
  process.env.JWT_SECRET,          // ≥256 biți, din secret manager
  { expiresIn: '15m' });           // + refresh tokens pentru sesiuni lungi

Locație

src/routes/booking.js:15

Descriere

Endpoint-ul de rezervare validează cantitatea și data doar în React. Serverul acceptă orice trimite clientul direct către API.

Impact

Se pot trimite cantități negative, date în trecut, câmpuri lipsă. Poate produce date inconsistente sau abuzuri de logică de business (ex. cantitate negativă → credit).

const { z } = require('zod');
const schema = z.object({
  quantity: z.number().int().positive(),
  date: z.string().datetime().refine(d => new Date(d) > new Date())
});
const parsed = schema.safeParse(req.body);
if (!parsed.success) return res.status(400).json(parsed.error);

Validarea din frontend e pentru comoditatea utilizatorului. Granița de securitate e serverul, mereu.

Locație

src/routes/payment.js:61 și încă 7 locuri

Descriere

Blocuri catch goale, care înghit erorile fără logare sau alertă.

Impact

Eșecuri silențioase. Dacă procesarea plății pică, nimeni nu află până nu reclamă clientul. Debugging aproape imposibil, incidente nedetectate - și un obstacol direct la cerințele de detecție și raportare din CRA și NIS2.

try {
  await processPayment(order);
} catch (e) {}  // eroarea dispare în tăcere

try {
  await processPayment(order);
} catch (e) {
  logger.error({ err: e, orderId: order.id }, 'plata a eșuat');
  await alertOnCriticalFailure(e);      // monitorizare + alertă
  throw e;                              // nu ascunde eșecul
}

Locație

src/middleware/error.js:9

Descriere

Handler-ul global de erori trimite err.stack în răspunsul HTTP, inclusiv în producție.

Impact

Divulgă structura internă, căile de fișiere și versiunile - ajută un atacator în faza de recunoaștere. Risc scăzut singur, dar util combinat cu alte probleme.

const isProd = process.env.NODE_ENV === 'production';
res.status(500).json({
  error: isProd ? 'Eroare internă' : err.message  // stack doar în log
});
logger.error({ err }, 'eroare neprinsă');

Locație

src/config/constants.js:4

Ce a semnalat
Semgrep

„Hardcoded password detected"

const DEFAULT_PASSWORD_FIELD = 'password';  // numele câmpului, nu o parolă

De ce NU e o problemă: valoarea 'password' e numele unui câmp de formular, nu o parolă reală. Scannerul se declanșează pe cuvântul „password" în context de string. 34 din 47 de alerte au fost de acest tip. Un raport care le-ar fi inclus pe toate ar fi fost inutilizabil. Trierea e munca - și e diferența dintre un raport de inginer și un export de scanner.