Backlog: security-ревью (fable) — 13 находок по приоритетам

2026-07-13 19:47:51 +03:00
parent f110cf7208
commit b60e55ec5e
15 changed files with 240 additions and 19 deletions
@@ -0,0 +1,15 @@
+# Унифицировать ACL техпанелей Authelia
+
+**Приоритет:** низкий
+
+В `files/authelia/configuration.template.yml` `rssbridge` и `start` (dashboard)
+закрыты `one_factor` вообще без `subject`, тогда как
+netdata/dozzle/goaccess/bifrost/wanderbase/remembos — `two_factor` +
+`group:admins`. rssbridge умеет ходить по произвольным URL (SSRF-поверхность) и при
+этом живёт за одним фактором, доступен любому пользователю из `users.yml`. Для
+одного пользователя риск невелик, но логичнее свести техпанели к `group:admins` +
+`two_factor`, а `one_factor` без субъекта оставить только там, где это осознанно.
+
+Из sec-ревью (fable, 2026-07-13).
+
+Связано: files/authelia/configuration.template.yml.