Raw config-to-env output (decrypted secrets) is echoed to pod logs on failure
Personne n'a encore pris cette issue.
Évaluation
- Difficulté
- 2/5
- Temps estimé
- 1-3 heures
- Accessibilité débutants
- 72/100
Piste de recherche
Lisez scripts/docker-entrypoint.sh autour des lignes 245 et 261, puis suivez la façon dont config_env_output et config_err_output sont capturés. Vérifiez les chemins d’échec et sans exportation pour confirmer que stdout contenant des secrets n’est pas journalisé et que stderr, utile et expurgé, est conservé. Le travail est terminé lorsque ces erreurs indiquent le code de sortie et des diagnostics sûrs sans afficher la sortie de configuration.
Rédigé par le modèle d'indexation à partir du texte de l'issue.
Description
Finding (medium)
scripts/docker-entrypoint.sh:245 and :261: echo "[CONFIG] ERROR: Failed to load config (exit $config_exit): $config_env_output $config_err_output" >&2, and line 261 prints $config_env_output again. That variable is the stdout of npx @osaas/cli web config-to-env: export NAME=value lines including secret parameters decrypted with CONFIG_API_KEY. On non-zero exit or output with no matching export line, they go to stderr, Loki and anyone with log access. Line 97 redaction only covers git stderr (gh*_, Basic).
Fix: print only the exit code and a redacted $config_err_output. Sibling: Eyevinn/web-runner has the same line (filed separately); #26 introduced the fatal path without covering log content.
Low
The runner runs as root and OSC_ACCESS_TOKEN, GIT_TOKEN, GITHUB_TOKEN and CONFIG_API_KEY stay exported into pip install build hooks and the app; Dockerfile has curl | bash for NodeSource and unpinned pip install gradio.
Lessons
Found by the Weekly Security Audit (2026-11-04); static read of a shallow clone, not reproduced live.
🤖 Generated with Claude Code
Co-Authored-By: Claude [email protected]
- Langage dominant
- Shell
- Étoiles
- 0
- Forks
- 2
- Merge moyen
- 40 min
- PR mergées (30 j)
- 5
Préparer son environnement
- Fournit un Dockerfile ou un fichier Docker Compose
- Aucun modèle de pull request
- Aucun guide de contribution
Par où commencer
- Lisez l'issue en entier, puis le guide de contribution du projet.
- Signalez en commentaire que vous la prenez — cela évite que deux personnes fassent le même travail.
- Forkez le dépôt et travaillez sur une branche.
- Ouvrez une pull request qui référence le numéro de l'issue.
Issues similaires
-
bug needs-testing
Difficulté 2/5 1-3 heures Accessibilité débutants 70/100
void-linux/void-packages#63374 ·
Les mainteneurs répondent en général sous 1 jour
-
Difficulté 2/5 1-3 heures Accessibilité débutants 83/100
txn2/mcp-data-platform#2493 ·
Les mainteneurs répondent en général sous 1 jour
-
Difficulté 2/5 1-3 heures Accessibilité débutants 77/100
yuting0624/antigravity-for-claude-code#115 · 1 commentaire ·
Les mainteneurs répondent en général sous 1 jour
-
Difficulté 2/5 1-3 heures Accessibilité débutants 78/100
omacom/omarchy-mac#792 ·
Les mainteneurs répondent en général sous 4 jours
-
Difficulté 2/5 1-3 heures Accessibilité débutants 83/100