Version v0.42.0
Audit de sécurité n° 2 (BUG-2026-868 à 875 et 890 à 892, portail 876-877 à part)
Fixes and changes (11)
| Reference | Title | Component | Priority | Resolved on |
|---|---|---|---|---|
| BUG-2026-868 | Une clé API seule permettait de changer les identifiants du compte ; clé acceptée dans l'URL sur toutes les routes | server/src/routes/authRoutes.js ; server/src/routes/v1/v1Auth.js ; server/src/mi | P2 | |
| BUG-2026-869 | Codes mél sans usage : un code de vérification d'adresse valait réinitialisation du mot de passe | server/src/engine/enginePlayer.js ; server/src/db.js (players.email_code_purpose | P2 | |
| BUG-2026-870 | Récupération par mél : réponses différentes selon le compte et l'adresse, codes de vérification sans quota | server/src/routes/authRoutes.js ; server/src/engine/enginePlayer.js ; client/src | P3 | |
| BUG-2026-871 | Clé d'administration d'exemple ou trop courte acceptée en production | server/src/middlewares/adminAuth.js ; deploy_update.sh | P2 | |
| BUG-2026-872 | Gabarits HTML des méls réels sans échappement des valeurs venant des joueurs | server/src/emailTemplateEngine.js ; server/src/emailAlertDispatcher.js ; server/ | P2 | |
| BUG-2026-873 | Directs : nombre de directs suivis illimité, places de spectateur gardées sans signal, connexion directe imposée au diffuseur | server/src/socket.js ; client/src/services/webrtcService.js | P2 | |
| BUG-2026-874 | WebSocket : ONLINE_COUNT rediffusé à chaque identification, IDENTIFY sans limite, messages privés sans revalidation de session | server/src/socket.js | P3 | |
| BUG-2026-875 | Filiale saisie encore pilotable par son ancien propriétaire ; logos à adresse externe chargés par le navigateur de chaque joueur | server/src/enterpriseEngine.js ; server/src/engine/engineCompany.js ; server/src | P3 | |
| BUG-2026-890 | Indemnité ARCEP calculée sur le prix courant du service visé, que sa propriétaire pouvait relever après l'attaque | server/src/cyberEngine.js (arcepIndemnityMonthlyPrice) ; server/src/db.js (ddos_ | P1 | |
| BUG-2026-891 | Packet Mail sans bornes (taille, catégorie, cadence) et corps de requête trop grands acceptés partout | server/src/engine/engineSocial.js ; server/src/routes/socialRoutes.js ; server/s | P1 | |
| BUG-2026-892 | Réponses automatiques des institutions envoyées vers Internet à des expéditeurs non authentifiés, avec reprise de leur texte | server/src/engine/engineSocial.js (receiveExternalEmail, réponses des bots) | P2 |