Backlog: security-ревью (fable) — 13 находок по приоритетам

2026-07-13 19:47:51 +03:00
parent f110cf7208
commit b60e55ec5e
15 changed files with 240 additions and 19 deletions
@@ -0,0 +1,16 @@
+# Ограничить эндпоинт `/metrics` Miniflux
+
+**Приоритет:** средний
+
+В `files/miniflux/docker-compose.template.yml` заданы `METRICS_COLLECTOR=1` и
+`METRICS_ALLOWED_NETWORKS=0.0.0.0/0`, а Caddy проксирует весь
+`miniflux.vakhrushev.me` без ограничения пути. За прокси Miniflux видит приватный
+IP контейнера Caddy (попадает в `0.0.0.0/0`), поэтому
+`https://miniflux.vakhrushev.me/metrics` отдаётся публично без аутентификации —
+утечка эксплуатационной статистики. Сузить `METRICS_ALLOWED_NETWORKS` до подсети
+`monitoring_network` (netdata скрейпит по внутреннему имени) или заблокировать
+путь `/metrics` в Caddy.
+
+Из sec-ревью (fable, 2026-07-13).
+
+Связано: files/miniflux/docker-compose.template.yml, files/caddyproxy/Caddyfile.template.