hardening: audit shell_exec and exec paths for command injection
Mantenedores costumam responder em até 1 dia
Ninguém assumiu esta issue ainda.
Avaliação
- Dificuldade
- 4/5
- Tempo estimado
- 3-5 dias
- Facilidade para iniciantes
- 48/100
Direção de pesquisa
Start by reviewing the listed command-execution sites in flowview_devices.php, flowview_bulkarin.php, and functions.php, tracing how each dynamic value reaches shell_exec or exec. Check whether shell arguments and any pipeline components are fully escaped, and look for places where the shell pipeline could be replaced with direct PHP operations. Done means every listed path is safely handled; the issue does not name tests to run.
Escrita pelo modelo de indexação a partir do texto da issue.
Descrição
Findings (validated by xAI Grok security review)
shell_exec/exec with dynamic inputs (HIGH)
flowview_devices.php:893,897,901: shell_exec with $safe_port in netstat/ss commandsflowview_bulkarin.php:127: exec with whois queries (partially escaped)functions.php:5820: exec with wget commandfunctions.php:6558: shell_exec with flow_export binary
Most paths use escapeshellarg() but some concatenate variables into shell pipeline strings.
Recommended fixes
Audit each exec path for complete escaping. Replace shell pipelines with direct PHP operations where possible.
- Linguagem predominante
- PHP
- Estrelas
- 21
- Forks
- 13
- Merge médio
- 1d 15h
- PRs com merge (30d)
- 13
Preparar o ambiente
- Sem Dockerfile nem arquivo Docker Compose
- Tem um modelo de pull request
- Sem guia de contribuição
Primeiros passos
- Leia a issue inteira e depois o guia de contribuição do projeto.
- Comente na issue dizendo que vai assumir — evita que duas pessoas façam o mesmo trabalho.
- Faça um fork do repositório e trabalhe em uma branch.
- Abra um pull request que referencie o número da issue.
Mais de Cacti/plugin_flowview
-
Include flows spanning the full report time windowTalvez já em andamento @somethingwithproof assumiu hoje. Aberta
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 77/100
Cacti/plugin_flowview#306 ·
Mantenedores costumam responder em até 1 dia
-
refactor: DRY flowview filters page layout wrapperTalvez livre de novo Um pull request para esta issue foi fechado sem ser mesclado. Abertaenhancement
Dificuldade 3/5 1-2 dias Facilidade para iniciantes 30/100
Cacti/plugin_flowview#245 ·
Mantenedores costumam responder em até 1 dia
-
bug
Dificuldade 4/5 3-5 dias Facilidade para iniciantes 35/100
Cacti/plugin_flowview#244 ·
Mantenedores costumam responder em até 1 dia
-
Errors in sql queriesAbertabug unverified
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 55/100
Cacti/plugin_flowview#231 · 1 comentário ·
Mantenedores costumam responder em até 1 dia
-
enhancement
Dificuldade 4/5 3-5 dias Facilidade para iniciantes 35/100
Cacti/plugin_flowview#213 · 3 comentários ·
Mantenedores costumam responder em até 1 dia
Todas as issues de Cacti/plugin_flowview
Issues semelhantes
-
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 75/100
Mantenedores costumam responder em até 1 dia
-
priority:low type:bug
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 82/100
crazy-goat/workerman-bundle#1189 ·
Mantenedores costumam responder em até 1 dia
-
Captured slideshow pass overwrites the route path, aborting compose with a rebind() TypeErrorAberta
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 78/100
Automattic/blocks-engine#5003 ·
Mantenedores costumam responder em até 1 dia
-
from-cloud mythic tracked
Dificuldade 1/5 Menos de uma hora Facilidade para iniciantes 86/100
MythicalLTD/FeatherPanel#459 · 1 comentário ·
Mantenedores costumam responder em até 1 dia
-
[Bug]: PostgreSQL backend: Queue.remove() / Job.remove() never emit the QueueEvents "removed" eventTalvez já em andamento @1AbdullahButt assumiu hoje. Aberta
Dificuldade 2/5 1-3 horas Facilidade para iniciantes 84/100
taskforcesh/bullmq#5085 ·
Mantenedores costumam responder em até 1 dia