vulnerability-auditor

name	vulnerability-auditor
description	Auditar o código em busca de vulnerabilidades de segurança, falhas de lógica que exponham dados sensíveis, riscos de injeção e conformidade com boas práticas de segurança (OWASP).

Auditor de Vulnerabilidade — CappyCloud

Este guia foca na identificação e mitigação de riscos de segurança na plataforma CappyCloud, considerando tanto o backend FastAPI quanto o frontend React e a infraestrutura de Sandbox.

Focos de Auditoria

1. Injeção e Segurança de Dados

• SQL Injection: O SQLAlchemy está sendo usado corretamente com parâmetros vinculados?Evite text() com concatenação de strings manual.
• Command Injection: Verifique chamadas ao subprocess ou os.system. Elas devem ser evitadas ou rigorosamente validadas, especialmente se envolverem inputs de usuários (ex: nomes de repo, branches).
• Path Traversal: Operações de arquivo (especialmente no gerenciamento de worktrees) validam se o caminho não escapa do diretório permitido?

2. Autenticação e Autorização

• JWT: O segredo (JWT_SECRET) está sendo carregado via variável de ambiente?O algoritmo de assinatura é seguro (HS256)?
• Exposição de Dados: Os schemas de resposta (schemas.py) filtram campos sensíveis (senhas, tokens, hashes) das entidades de domínio?
• Tenant Isolation: Toda consulta ao banco de dados garante que os dados pertencem ao user_id autenticado (especialmente em conversas e sessões)?

3. Segurança de Sandbox (Docker)

• Isolamento: O EnvironmentManager garante que cada usuário tenha seu próprio container?
• Limites de Recurso: Existem limites de CPU/Memória configurados para os containers de sandbox para evitar ataques de DoS local?
• gRPC: A comunicação entre a API e o Sandbox via gRPC é autenticada ou restrita à rede interna do Docker (cappycloud_net)?

4. Frontend (React)

• XSS: O uso de dangerouslySetInnerHTML é evitado?O react-markdown está configurado para sanitizar HTML?
• CSRF: As requisições para a API utilizam tokens Bearer (que mitigam CSRF por padrão) ou possuem proteção adicional?
• Storage: Dados sensíveis (como o token JWT) são armazenados com segurança (ex: localStorage vs HttpOnly cookies)?

Checklist de Auditoria Rápida

• Segredos: Procure por chaves de API, senhas ou segredos hardcoded em qualquer arquivo (especialmente .env.example, config.py, ou mocks de teste).
• Dependências: Verifique se as versões no requirements.txt e package.json possuem vulnerabilidades conhecidas (CVEs).
• Log de Dados Sensíveis: Garanta que segredos, senhas ou tokens não sejam impressos nos logs do backend (uvicorn ou logger).

Ferramentas Recomendadas para o Agente

• Use grep para buscar padrões como subprocess.run, eval(, os.system, e concatenações em strings de SQL.
• Analise a configuração do cors.py ou CORS_ORIGINS no main.py para evitar permissividade excessiva.

---

Importante: Em caso de vulnerabilidade crítica confirmada, não exponha detalhes sensíveis em logs públicos; reporte via canais de segurança definidos (se houver).