ORGANISATION-KA-INTERNATIONALE/api.pawol.nu

Fork 0

Audit sécurité/qualité : corrections critiques, tests, CI et lint #4

Merged

cedric merged 28 commits from fix/audit-2026-07-04 into master

2026-07-04 17:01:30 +00:00

cedric commented

2026-07-04 16:57:04 +00:00

Owner

🔴 Sécurité : IDOR sur update/delete (parole/artiste/commentaire), mass assignment non filtré sur create/update, hash de mot de passe exposé via register, secrets hardcodés en fallback dans admin.js, injection HTML dans l'email de notification
🐛 Bugs : signature cassée de parole.findOne, écrasement destructif des commentaires existants d'une parole, mauvais id/documentId, crash sur updatedBy non peuplé, cascade de renommage de slug artiste
⚙️ Fiabilité : sauvegarde hebdomadaire de la base réellement implémentée, timeout + isolation des échecs DeepL, publication non bloquée si Telegram/Revolt échoue, bulk-translate restreint aux appels API token
🧹 Nettoyage : dossiers legacy extensions//components/, config rest-cache inutilisée, dépendance axios déclarée directement
✅ Tests & CI : mise en place de Vitest, exécution des tests avant build et sur chaque déploiement
📏 Lint : activation d'ESLint (0 erreur)

- 🔴 Sécurité : IDOR sur update/delete (parole/artiste/commentaire), mass assignment non filtré sur create/update, hash de mot de passe exposé via `register`, secrets hardcodés en fallback dans `admin.js`, injection HTML dans l'email de notification - 🐛 Bugs : signature cassée de `parole.findOne`, écrasement destructif des commentaires existants d'une parole, mauvais id/documentId, crash sur `updatedBy` non peuplé, cascade de renommage de slug artiste - ⚙️ Fiabilité : sauvegarde hebdomadaire de la base réellement implémentée, timeout + isolation des échecs DeepL, publication non bloquée si Telegram/Revolt échoue, `bulk-translate` restreint aux appels API token - 🧹 Nettoyage : dossiers legacy `extensions/`/`components/`, config `rest-cache` inutilisée, dépendance `axios` déclarée directement - ✅ Tests & CI : mise en place de Vitest, exécution des tests avant build et sur chaque déploiement - 📏 Lint : activation d'ESLint (0 erreur)

cedric added 28 commits 2026-07-04 16:57:05 +00:00

test: ajouter Vitest au backend 796b4379fd

fix: stopper l'exécution après un refus d'autorisation dans parole.create f592d4ded7

fix: corriger le ReferenceError dans artiste.create 8b17882d6b

fix: corriger les mauvais identifiants utilisés (id vs documentId) ddb6d3f2f0

fix: ajouter un timeout DeepL et isoler les échecs par langue 36917d79b4

fix: ne pas bloquer la publication si Telegram/Revolt échoue 4c13f47156

chore: déclarer axios comme dépendance directe d87ab299c4

chore: retirer la config rest-cache (plugin non installé, incompatible v5) 9fa37c516c

fix: restreindre bulk-translate aux appels par token API 416032942a

ci: exécuter les tests avant le build sur chaque PR 1562ecd706

refactor: extraire la vérification JWT/payload en policy partagée e515944fb9

fix: refuser par défaut is-payload-owner sans en-tête Authorization bc5d0fb498

fix: corriger l'IDOR sur update/delete (parole, artiste, commentaire) 291aa54912

fix: retirer l'override register qui exposait le hash de mot de passe 85ecdf3072

fix: réparer la cascade de renommage des slugs d'artiste c66c972a93

fix: éviter un crash sur updatedBy non peuplé c4f45f712a

fix: valider data.user/data.artistes avant déréférencement 6f77c17003

feat: implémenter réellement la sauvegarde hebdomadaire de la base c0d6834178

fix: envoyer le commentaire en texte brut (éviter l'injection HTML) e4187a697a

chore: supprimer les dossiers legacy extensions/ et components/ b36f53f022

chore: retirer les secrets de fallback hardcodés dans admin.js 250ae822ea

ci: exécuter les tests dans deploy-beta et deploy-prod 0afa9251d6

fix: corriger la signature de parole.findOne (ctx au lieu de documentId) 4ee7ed3e5e

fix: ne plus écraser les commentaires existants d'une parole 3b9b28d326

fix: retirer createdBy/updatedBy du payload dans beforeUpdate 1d54d287e1

fix: whitelister les champs autorisés sur create/update (mass assignment) 90c048a282

chore: activer ESLint sur le backend 2224c8f3bb

Installe eslint, ajoute le script lint, modernise le parser
(retrait de babel-eslint obsolète) et applique l'autofix
(points-virgules manquants sur l'ensemble du code, conformément
à la règle "semi" déjà présente dans .eslintrc mais jamais
appliquée faute d'ESLint installé et d'un script pour l'exécuter).

fix: corriger les erreurs ESLint restantes après activation

Déploiement API BETA / build (push) Successful in 2m24s

Details

Déploiement API BETA / deploy (push) Successful in 1m37s

Details

Vérification PR / build (pull_request) Successful in 2m23s

Details

Vérification PR / deploy-beta (pull_request) Successful in 48s

Details

2c84ea0f25

- retirer les paramètres/variables inutilisés (result, ctx/next, qs)
- corriger l'indentation tabs/espaces mélangés dans src/admin/app.js
- retirer les échappements regex inutiles dans stripMarkdown
- remplacer while(true) par for(;;) (faux positif no-constant-condition)

cedric merged commit 7e705d3976 into master

2026-07-04 17:01:30 +00:00

1 Participants

Notifications

Due Date

No due date set.

Dependencies

No dependencies set.

Reference: ORGANISATION-KA-INTERNATIONALE/api.pawol.nu#4