Leopoldadmin/leocrm
1
0
Fork 0
Code Issues 363 Pull Requests Actions 1 Packages Projects Releases 1 Wiki Activity

S1: Sicherheitsgrenzen (Astra F01,F02,F03,F05,F10,F11,F15,F20,F21,F23,F30) #396

New Issue
Open
opened 2026-09-17 20:26:53 +00:00 by Leopoldadmin · 0 comments
Leopoldadmin commented 2026-09-17 20:26:53 +00:00
Owner
Copy Link
Copy Source

Welle 1 der Astra-Sanierung (docs/audits/astra-audit-2026-09-17.md, Roadmap Phase S).

P0s: F01 KI fuehrt nicht freigegebene Tools aus (agent_loop._execute_tool ohne Allowlist/Permission-Check); F02 Tenant-Admin kann globale User.email aendern (Account-Uebernahme-Vektor).

Weitere: F03 Session-Widerruf unvollständig (Redis vs DB-Fallback), F05 Plugin-Gate vor Auth, F10 Token-Scopes ersetzen User-Rechte statt schneiden, F11 Approval nicht an Entscheider/Aktion gebunden, F15 SSRF: interne Hostnamen durchlaessig, F20 prestart hebt 0100-Rechteentzug auf, F21 Migrationstest kann echte DB treffen, F23 Tenant-API triggert DB-weiten Restore, F30 Admin-Standardpasswort.

Abnahme je Finding im Audit-Dok; quer: keine unberechtigte Aktion, keine globale Identitaetsaenderung durch Mandantenverwalter, isolierte Tests garantiert.

Welle 1 der Astra-Sanierung (docs/audits/astra-audit-2026-09-17.md, Roadmap Phase S). P0s: F01 KI fuehrt nicht freigegebene Tools aus (agent_loop._execute_tool ohne Allowlist/Permission-Check); F02 Tenant-Admin kann globale User.email aendern (Account-Uebernahme-Vektor). Weitere: F03 Session-Widerruf unvollständig (Redis vs DB-Fallback), F05 Plugin-Gate vor Auth, F10 Token-Scopes ersetzen User-Rechte statt schneiden, F11 Approval nicht an Entscheider/Aktion gebunden, F15 SSRF: interne Hostnamen durchlaessig, F20 prestart hebt 0100-Rechteentzug auf, F21 Migrationstest kann echte DB treffen, F23 Tenant-API triggert DB-weiten Restore, F30 Admin-Standardpasswort. Abnahme je Finding im Audit-Dok; quer: keine unberechtigte Aktion, keine globale Identitaetsaenderung durch Mandantenverwalter, isolierte Tests garantiert.
Leopoldadmin added this to the Phase S — Astra-Sanierung milestone 2026-09-17 20:26:53 +00:00
Leopoldadmin added the bugtask labels 2026-09-17 20:26:53 +00:00
Sign in to join this conversation.
No Branch/Tag Specified
Branches Tags
Labels
Clear labels
auto-reported
Automatically reported by error reporter
 bug
Bug report
 bug
Bug Report
 critical
Critical Priority
 enhancement
Feature Request
 high
High Priority
 low
Low Priority
 medium
Medium Priority
 task
Roadmap Task
No Label bug task
Milestone
No items
No Milestone Phase S — Astra-Sanierung
Projects
Clear projects
No project
Assignees
Clear assignees
Leopoldadmin
No Assignees
1 Participants
Notifications
Due Date
No due date set.
Dependencies

No dependencies set.

Reference: Leopoldadmin/leocrm#396
Delete Branch "%!s()"

Deleting a branch is permanent. Although the deleted branch may continue to exist for a short time before it actually gets removed, it CANNOT be undone in most cases. Continue?