artem.kokos/redmine-reporter
1
0
Fork 0
Code Issues Pull Requests Actions Packages Projects Releases 17 Wiki Activity

[Security] Санитизировать вывод исключений Redmine в CLI #55

New Issue
Closed
opened 2026-07-12 21:18:12 +07:00 by artem.kokos · 0 comments
artem.kokos commented 2026-07-12 21:18:12 +07:00
Owner
Copy Link

Проблема

В redmine_reporter/cli.py:79 при ошибке от Redmine в stderr печатается raw exception:

except Exception as e:
    print(f"Ошибка при получении данных из Redmine: {e}", file=sys.stderr)

Если python-redmine или requests в сообщении исключения раскрывают URL с встроенным ключом (https://red.eltex.loc/issues.json?key=SECRET) или другие чувствительные данные, они попадут в логи/терминал.

Пример сценария утечки

  1. Пользователь запускает redmine-reporter.
  2. Redmine возвращает ошибку сети, в теле которой присутствует полный URL с key=....
  3. Содержимое {e} выводится в stderr и может быть скопировано в баг-репорт или лог CI.

Рекомендации

  1. Печатать только тип исключения и краткое сообщение без стектрейса:

    print(f"Ошибка при получении данных из Redmine: {type(e).__name__}: {e}", file=sys.stderr)

    (уже лучше, но всё ещё рискует содержать URL с ключом).

  2. Предпочтительно: перехватывать известные исключения redminelib/requests отдельно и выводить безопасные, заранее подготовленные сообщения. Полный стектрейс выводить только при --verbose.

  3. Добавить тест, проверяющий, что при ошибке в выводе не присутствует значение REDMINE_API_KEY.

Связанные места

  • redmine_reporter/cli.py:79
## Проблема В `redmine_reporter/cli.py:79` при ошибке от Redmine в `stderr` печатается raw exception: ```python except Exception as e: print(f"Ошибка при получении данных из Redmine: {e}", file=sys.stderr) ``` Если `python-redmine` или `requests` в сообщении исключения раскрывают URL с встроенным ключом (`https://red.eltex.loc/issues.json?key=SECRET`) или другие чувствительные данные, они попадут в логи/терминал. ## Пример сценария утечки 1. Пользователь запускает `redmine-reporter`. 2. Redmine возвращает ошибку сети, в теле которой присутствует полный URL с `key=...`. 3. Содержимое `{e}` выводится в stderr и может быть скопировано в баг-репорт или лог CI. ## Рекомендации 1. Печатать только тип исключения и краткое сообщение без стектрейса: ```python print(f"Ошибка при получении данных из Redmine: {type(e).__name__}: {e}", file=sys.stderr) ``` (уже лучше, но всё ещё рискует содержать URL с ключом). 2. **Предпочтительно:** перехватывать известные исключения `redminelib`/`requests` отдельно и выводить безопасные, заранее подготовленные сообщения. Полный стектрейс выводить только при `--verbose`. 3. Добавить тест, проверяющий, что при ошибке в выводе не присутствует значение `REDMINE_API_KEY`. ## Связанные места - `redmine_reporter/cli.py:79`
artem.kokos added the securitycli labels 2026-07-12 21:18:12 +07:00
Sign in to join this conversation.
No Branch/Tag Specified
Branches Tags
Labels
Clear labels
bug
cli
config
critical
enhancement
formats
odt
packaging
performance
redmine
refactoring
reliability
report
security
No Label cli security
Milestone
No items
No Milestone
Projects
Clear projects
No project
Assignees
Clear assignees
artem.kokos
No Assignees
1 Participants
Notifications
Due Date
No due date set.
Dependencies

No dependencies set.

Reference: artem.kokos/redmine-reporter#55
Delete Branch "%!s()"

Deleting a branch is permanent. Although the deleted branch may continue to exist for a short time before it actually gets removed, it CANNOT be undone in most cases. Continue?