Share-ссылки хранятся in-memory (_shareLinks) без привязки к создателю. Любой пользователь с валидным JWT и share_id может прочитать связанную геопозицию.
Хранить shares в PostgreSQL с created_by и политикой доступа; проверять на GET /watch.
Трудозатраты
M
Источник: аудит безопасности GeoShare, 2026-06-26, commit abbd199d89925483ac1801b401a4e75a2a1372e0. Важность в issue поднята на одну ступень относительно severity в отчёте.
## Важность
**критический**
## Категория
Authorization
## Место в коде
`bin/routes/auth_routes.dart:76-115`, `bin/database/database_provider.dart:315-325`
## Описание
Share-ссылки хранятся in-memory (`_shareLinks`) без привязки к создателю. Любой пользователь с валидным JWT и `share_id` может прочитать связанную геопозицию.
## Влияние
Утечка геолокации любому зарегистрированному пользователю, получившему UUID share-ссылки.
## Рекомендация
Хранить shares в PostgreSQL с `created_by` и политикой доступа; проверять на `GET /watch`.
## Трудозатраты
M
---
**Источник:** аудит безопасности GeoShare, 2026-06-26, commit `abbd199d89925483ac1801b401a4e75a2a1372e0`.
**Важность в issue** поднята на одну ступень относительно severity в отчёте.
cucadmuh
changed title from [SEC-002][блокер] Нет авторизации на уровне share/watch to [SEC-002][критический] Нет авторизации на уровне share/watch2026-06-26 19:51:38 +03:00
Blocking a user prevents them from interacting with repositories, such as opening or commenting on pull requests or issues. Learn more about blocking a user.
Важность
критический
Категория
Authorization
Место в коде
bin/routes/auth_routes.dart:76-115,bin/database/database_provider.dart:315-325Описание
Share-ссылки хранятся in-memory (
_shareLinks) без привязки к создателю. Любой пользователь с валидным JWT иshare_idможет прочитать связанную геопозицию.Влияние
Утечка геолокации любому зарегистрированному пользователю, получившему UUID share-ссылки.
Рекомендация
Хранить shares в PostgreSQL с
created_byи политикой доступа; проверять наGET /watch.Трудозатраты
M
Источник: аудит безопасности GeoShare, 2026-06-26, commit
abbd199d89925483ac1801b401a4e75a2a1372e0.Важность в issue поднята на одну ступень относительно severity в отчёте.
[SEC-002][блокер] Нет авторизации на уровне share/watchto [SEC-002][критический] Нет авторизации на уровне share/watch