security-auditGitHub
Menu

Przebiegi

Przebieg to jeden audyt prawdziwego modułu, puszczony samym poleceniem /security-audit, bez podpowiedzi o advisory. Potem scorer porównuje raport z kluczem: listą miejsc w kodzie, które zmieniła publiczna poprawka.

Wersja podatna to wydanie sprzed poprawki: liczymy, ile advisory skill znalazł. Wersja kontrolna to wydanie z poprawkami: sprawdzamy, czy skill nie zgłasza ponownie tego, co już naprawiono (trafienia w pułapkę).

Publikujemy tylko to, co pasuje do opublikowanych i naprawionych advisory. Inne znaleziska podajemy wyłącznie jako liczbę („w przeglądzie”), bo najpierw trafiają do opiekunów modułu. O bieżących wersjach modułów nie piszemy nic ponad to.

DataModułWersjaAdvisoryPułapkiW przeglądzieKoszt / czasSkill
26 października 2026fast-jwt
npm		6.3.1
kontrola		—021,58 USD / 4,8 mineefbb83
26 października 2026fast-jwt
npm		6.2.4
podatna		1/3011,5 USD / 4,3 mineefbb83
26 października 2026goshs
go		v2.1.4
podatna		6/803816,7 USD / 32,4 mineefbb83
26 października 2026miniorange_saml
drupal		3.1.3
podatna		5/11002,01 USD / 24,9 min1cee60d
25 października 2026miniorange_saml
drupal		3.1.3
podatna		5/11022,34 USD / 6,2 min077bec2
19 października 2026miniorange_saml
drupal		3.2.0
kontrola		—173,15 USD / 8 min7f956ef
19 października 2026miniorange_saml
drupal		3.1.3
podatna		4/11012,37 USD / 6 min7f956ef

Pułapki: znaleziska, które zgłaszają już naprawiony kod. W przeglądzie: zweryfikowane znaleziska spoza klucza, podane tylko liczbą. Koszt to tokeny modelu w Claude Code.

Szczegóły

2026-10-26 · fast-jwt 6.3.1 (kontrola) · R31

Żadne z trzech naprawionych advisory nie wróciło.

Wersja z poprawkami, więc bez listy advisory do znalezienia. Trafienia w pułapkę: 0, w przeglądzie: 2.

2026-10-26 · fast-jwt 6.2.4 (podatna) · R31

Znalezione: tablica jako payload omija walidację claimów. Pominięte oba błędy wyboru klucza (JWK jako sekret HMAC, pusty klucz z listą algorytmów).

2026-10-26 · goshs v2.1.4 (podatna) · R31

Oba Critical znalezione, obejście basic auth jako najważniejsze znalezisko raportu. Duży serwer plików w Go (~18 tys. linii, HTTP, WebDAV, FTP, SFTP, SMB), stąd koszt. Pierwotnie scorer pokazał 0/8, bo nie rozpoznawał plików .go; poprawione w skillu (#33), wynik po ponownym przeliczeniu tego samego raportu.

2026-10-26 · miniorange_saml 3.1.3 (podatna) · powtórka 2

Pierwszy raz znalezione SA-CONTRIB-2026-145 (algorytm podpisu z odpowiedzi SAML). Za to tym razem bez SSRF ze 151.

2026-10-25 · miniorange_saml 3.1.3 (podatna) · powtórka 1

SA-CONTRIB-2026-141 tym razem przeszło weryfikację. XSS ze 147 nie wróciło.

2026-10-19 · miniorange_saml 3.2.0 (kontrola) · R30, przebieg B

Żadne naprawione advisory nie wróciło. Jedno trafienie w pułapkę jest w przeglądzie.

Wersja z poprawkami, więc bez listy advisory do znalezienia. Trafienia w pułapkę: 1, w przeglądzie: 7.

2026-10-19 · miniorange_saml 3.1.3 (podatna) · R30, przebieg A

SA-CONTRIB-2026-031 najwyżej w raporcie.

Opis modułu, ryzyka advisory i zastrzeżenia są w sekcji Na prawdziwych podatnościach. Klucze i skrypty do powtórzenia przebiegu: benchmark/real.