hardening: audit shell_exec and exec paths for command injection
Los mantenedores suelen responder en 1 día
Nadie ha tomado este issue todavía.
Evaluación
- Dificultad
- 4/5
- Tiempo estimado
- 3-5 días
- Aptitud para principiantes
- 48/100
Línea de trabajo
Start by reviewing the listed command-execution sites in flowview_devices.php, flowview_bulkarin.php, and functions.php, tracing how each dynamic value reaches shell_exec or exec. Check whether shell arguments and any pipeline components are fully escaped, and look for places where the shell pipeline could be replaced with direct PHP operations. Done means every listed path is safely handled; the issue does not name tests to run.
Escrito por el modelo de indexación a partir del texto del issue.
Descripción
Findings (validated by xAI Grok security review)
shell_exec/exec with dynamic inputs (HIGH)
flowview_devices.php:893,897,901: shell_exec with $safe_port in netstat/ss commandsflowview_bulkarin.php:127: exec with whois queries (partially escaped)functions.php:5820: exec with wget commandfunctions.php:6558: shell_exec with flow_export binary
Most paths use escapeshellarg() but some concatenate variables into shell pipeline strings.
Recommended fixes
Audit each exec path for complete escaping. Replace shell pipelines with direct PHP operations where possible.
- Lenguaje dominante
- PHP
- Estrellas
- 21
- Forks
- 13
- Merge medio
- 1 d 15 h
- PR fusionados (30 d)
- 13
Preparar el entorno
- Sin Dockerfile ni archivo de Docker Compose
- Tiene una plantilla de pull request
- Sin guía de contribución
Primeros pasos
- Lee el issue completo y luego la guía de contribución del proyecto.
- Comenta en el issue que vas a ocuparte — evita que dos personas hagan lo mismo.
- Haz un fork del repositorio y trabaja en una rama.
- Abre un pull request que haga referencia al número del issue.
Más de Cacti/plugin_flowview
-
Include flows spanning the full report time windowPosiblemente ocupada @somethingwithproof la tomó hoy. Abierto
Dificultad 2/5 1-3 horas Aptitud para principiantes 77/100
Cacti/plugin_flowview#306 ·
Los mantenedores suelen responder en 1 día
-
refactor: DRY flowview filters page layout wrapperQuizá libre de nuevo Un pull request para esta issue se cerró sin fusionarse. Abiertoenhancement
Dificultad 3/5 1-2 días Aptitud para principiantes 30/100
Cacti/plugin_flowview#245 ·
Los mantenedores suelen responder en 1 día
-
bug
Dificultad 4/5 3-5 días Aptitud para principiantes 35/100
Cacti/plugin_flowview#244 ·
Los mantenedores suelen responder en 1 día
-
Errors in sql queriesAbiertobug unverified
Dificultad 2/5 1-3 horas Aptitud para principiantes 55/100
Cacti/plugin_flowview#231 · 1 comentario ·
Los mantenedores suelen responder en 1 día
-
enhancement
Dificultad 4/5 3-5 días Aptitud para principiantes 35/100
Cacti/plugin_flowview#213 · 3 comentarios ·
Los mantenedores suelen responder en 1 día
Todos los issues de Cacti/plugin_flowview
Issues similares
-
Dificultad 2/5 1-3 horas Aptitud para principiantes 75/100
Los mantenedores suelen responder en 1 día
-
priority:low type:bug
Dificultad 2/5 1-3 horas Aptitud para principiantes 82/100
crazy-goat/workerman-bundle#1189 ·
Los mantenedores suelen responder en 1 día
-
Captured slideshow pass overwrites the route path, aborting compose with a rebind() TypeErrorAbierto
Dificultad 2/5 1-3 horas Aptitud para principiantes 78/100
Automattic/blocks-engine#5003 ·
Los mantenedores suelen responder en 1 día
-
from-cloud mythic tracked
Dificultad 1/5 Menos de una hora Aptitud para principiantes 86/100
MythicalLTD/FeatherPanel#459 · 1 comentario ·
Los mantenedores suelen responder en 1 día
-
[Bug]: PostgreSQL backend: Queue.remove() / Job.remove() never emit the QueueEvents "removed" eventPosiblemente ocupada @1AbdullahButt la tomó hoy. Abierto
Dificultad 2/5 1-3 horas Aptitud para principiantes 84/100
taskforcesh/bullmq#5085 ·
Los mantenedores suelen responder en 1 día