[SEC-004][критический] JWT secret с fallback на пустую строку #13

New Issue

2026-06-26T19:45:44+03:00

cucadmuh commented

2026-06-26 19:45:44 +03:00

Важность

критический

Категория

Authentication

Место в коде

bin/routes/auth_routes.dart:45-46, bin/middleware/auth_middleware.dart:21-22

Описание

final secret = dotenv['JWT_SECRET'] ?? ''; — при отсутствии секрета подпись и проверка идут с пустым ключом.

Влияние

Возможна подделка JWT при misconfiguration.

Трудозатраты

S

Источник: аудит безопасности GeoShare, 2026-06-26, commit abbd199d89925483ac1801b401a4e75a2a1372e0.
Важность в issue поднята на одну ступень относительно severity в отчёте.

## Важность **критический** ## Категория Authentication ## Место в коде `bin/routes/auth_routes.dart:45-46`, `bin/middleware/auth_middleware.dart:21-22` ## Описание `final secret = dotenv['JWT_SECRET'] ?? '';` — при отсутствии секрета подпись и проверка идут с пустым ключом. ## Влияние Возможна подделка JWT при misconfiguration. ## Рекомендация Fail-fast при старте, если `JWT_SECRET` отсутствует или слабый; читать из `Platform.environment`. ## Трудозатраты S --- **Источник:** аудит безопасности GeoShare, 2026-06-26, commit `abbd199d89925483ac1801b401a4e75a2a1372e0`. **Важность в issue** поднята на одну ступень относительно severity в отчёте.

cucadmuh changed title from ~~[SEC-004][блокер] JWT secret с fallback на пустую строку~~ to [SEC-004][критический] JWT secret с fallback на пустую строку

2026-06-26 19:51:39 +03:00

Sign in to join this conversation.

1 Participants

Notifications

Due Date

No due date set.

Dependencies

No dependencies set.

Reference: rezidir/GeoShare#13