hacktricks-cloud/src/pentesting-ci-cd/vercel-security.md

Vercel

{{#include ../banners/hacktricks-training.md}}

Podstawowe informacje

W Vercel Zespół to pełne środowisko, które należy do klienta, a projekt to aplikacja.

Aby przeprowadzić przegląd zabezpieczeń Vercel, musisz poprosić o użytkownika z uprawnieniami roli przeglądającego lub przynajmniej uprawnieniami przeglądania projektu nad projektami, aby sprawdzić (w przypadku, gdy potrzebujesz tylko sprawdzić projekty, a nie konfigurację zespołu).

Ustawienia projektu

Ogólne

Cel: Zarządzanie podstawowymi ustawieniami projektu, takimi jak nazwa projektu, framework i konfiguracje budowy.

Konfiguracje zabezpieczeń:

• Transfer
• Błąd w konfiguracji: Umożliwia przeniesienie projektu do innego zespołu
• Ryzyko: Atakujący może ukraść projekt
• Usuń projekt
• Błąd w konfiguracji: Umożliwia usunięcie projektu
• Ryzyko: Usunięcie projektu

---

Domeny

Cel: Zarządzanie niestandardowymi domenami, ustawieniami DNS i konfiguracjami SSL.

Konfiguracje zabezpieczeń:

• Błędy konfiguracji DNS
• Błąd w konfiguracji: Nieprawidłowe rekordy DNS (A, CNAME) wskazujące na złośliwe serwery.
• Ryzyko: Przejęcie domeny, przechwytywanie ruchu i ataki phishingowe.
• Zarządzanie certyfikatami SSL/TLS
• Błąd w konfiguracji: Używanie słabych lub wygasłych certyfikatów SSL/TLS.
• Ryzyko: Wrażliwość na ataki typu man-in-the-middle (MITM), co narusza integralność i poufność danych.
• Implementacja DNSSEC
• Błąd w konfiguracji: Nie włączenie DNSSEC lub nieprawidłowe ustawienia DNSSEC.
• Ryzyko: Zwiększona podatność na ataki spoofingowe DNS i ataki na pamięć podręczną.
• Środowisko używane na domenę
• Błąd w konfiguracji: Zmiana środowiska używanego przez domenę w produkcji.
• Ryzyko: Ujawnienie potencjalnych sekretów lub funkcji, które nie powinny być dostępne w produkcji.

---

Środowiska

Cel: Definiowanie różnych środowisk (Rozwój, Podgląd, Produkcja) z określonymi ustawieniami i zmiennymi.

Konfiguracje zabezpieczeń:

• Izolacja środowiska
• Błąd w konfiguracji: Udostępnianie zmiennych środowiskowych między środowiskami.
• Ryzyko: Ujawnienie sekretów produkcyjnych w środowiskach rozwojowych lub podglądowych, zwiększając narażenie.
• Dostęp do wrażliwych środowisk
• Błąd w konfiguracji: Umożliwienie szerokiego dostępu do środowisk produkcyjnych.
• Ryzyko: Nieautoryzowane zmiany lub dostęp do aplikacji na żywo, co prowadzi do potencjalnych przestojów lub naruszeń danych.

---

Zmienne środowiskowe

Cel: Zarządzanie zmiennymi i sekretami specyficznymi dla środowiska używanymi przez aplikację.

Konfiguracje zabezpieczeń:

• Ujawnianie wrażliwych zmiennych
• Błąd w konfiguracji: Prefiksowanie wrażliwych zmiennych NEXT_PUBLIC_, co czyni je dostępnymi po stronie klienta.
• Ryzyko: Ujawnienie kluczy API, poświadczeń bazy danych lub innych wrażliwych danych publicznie, co prowadzi do naruszeń danych.
• Wrażliwe wyłączone
• Błąd w konfiguracji: Jeśli wyłączone (domyślnie), możliwe jest odczytanie wartości wygenerowanych sekretów.
• Ryzyko: Zwiększone prawdopodobieństwo przypadkowego ujawnienia lub nieautoryzowanego dostępu do wrażliwych informacji.
• Wspólne zmienne środowiskowe
• Błąd w konfiguracji: To są zmienne środowiskowe ustawione na poziomie zespołu i mogą również zawierać wrażliwe informacje.
• Ryzyko: Zwiększone prawdopodobieństwo przypadkowego ujawnienia lub nieautoryzowanego dostępu do wrażliwych informacji.

---

Git

Cel: Konfiguracja integracji repozytoriów Git, ochrony gałęzi i wyzwalaczy wdrożeń.

Konfiguracje zabezpieczeń:

• Zignorowany krok budowy (TODO)
• Błąd w konfiguracji: Wygląda na to, że ta opcja pozwala skonfigurować skrypt/komendy bash, które będą wykonywane, gdy nowy commit zostanie przesłany do Github, co może umożliwić RCE.
• Ryzyko: TBD

---

Integracje

Cel: Łączenie usług i narzędzi zewnętrznych w celu zwiększenia funkcjonalności projektu.

Konfiguracje zabezpieczeń:

• Niebezpieczne integracje zewnętrzne
• Błąd w konfiguracji: Integracja z nieufnymi lub niebezpiecznymi usługami zewnętrznymi.
• Ryzyko: Wprowadzenie luk w zabezpieczeniach, wycieków danych lub tylnej furtki przez skompromitowane integracje.
• Nadmierne uprawnienia integracji
• Błąd w konfiguracji: Przyznawanie nadmiernych uprawnień zintegrowanym usługom.
• Ryzyko: Nieautoryzowany dostęp do zasobów projektu, manipulacja danymi lub zakłócenia usług.
• Brak monitorowania integracji
• Błąd w konfiguracji: Nie monitorowanie i audytowanie integracji zewnętrznych.
• Ryzyko: Opóźnione wykrywanie skompromitowanych integracji, zwiększając potencjalny wpływ naruszeń bezpieczeństwa.

---

Ochrona wdrożeń

Cel: Zabezpieczenie wdrożeń poprzez różne mechanizmy ochrony, kontrolując, kto może uzyskać dostęp i wdrażać w twoich środowiskach.

Konfiguracje zabezpieczeń:

Autoryzacja Vercel

• Błąd w konfiguracji: Wyłączenie autoryzacji lub brak egzekwowania kontroli członków zespołu.
• Ryzyko: Nieautoryzowani użytkownicy mogą uzyskać dostęp do wdrożeń, co prowadzi do naruszeń danych lub niewłaściwego użycia aplikacji.

Ominięcie ochrony dla automatyzacji

• Błąd w konfiguracji: Publiczne ujawnienie sekretu omijającego lub używanie słabych sekretów.
• Ryzyko: Atakujący mogą ominąć ochronę wdrożeń, uzyskując dostęp i manipulując chronionymi wdrożeniami.

Linki do udostępniania

• Błąd w konfiguracji: Udostępnianie linków bez ograniczeń lub brak unieważnienia przestarzałych linków.
• Ryzyko: Nieautoryzowany dostęp do chronionych wdrożeń, omijając autoryzację i ograniczenia IP.

Opcje Allowlist

• Błąd w konfiguracji: Umożliwienie zbyt szerokiego dostępu do ścieżek lub wrażliwych punktów końcowych.
• Ryzyko: Atakujący mogą wykorzystać niechronione ścieżki do wykonywania nieautoryzowanych działań lub omijania kontroli bezpieczeństwa.

Ochrona hasłem

• Błąd w konfiguracji: Używanie słabych haseł lub ich niebezpieczne udostępnianie.
• Ryzyko: Nieautoryzowany dostęp do wdrożeń, jeśli hasła zostaną odgadnięte lub wyciekły.
• Uwaga: Dostępne w planie Pro jako część Zaawansowanej Ochrony Wdrożeń za dodatkowe 150 USD/miesiąc.

Wyjątki w ochronie wdrożeń

• Błąd w konfiguracji: Nieumyślne dodanie domen produkcyjnych lub wrażliwych do listy wyjątków.
• Ryzyko: Ujawnienie krytycznych wdrożeń publicznie, co prowadzi do wycieków danych lub nieautoryzowanego dostępu.
• Uwaga: Dostępne w planie Pro jako część Zaawansowanej Ochrony Wdrożeń za dodatkowe 150 USD/miesiąc.

Zaufane adresy IP

• Błąd w konfiguracji: Nieprawidłowe określenie adresów IP lub zakresów CIDR.
• Ryzyko: Blokowanie legalnych użytkowników lub uzyskanie dostępu przez nieautoryzowane adresy IP.
• Uwaga: Dostępne w planie Enterprise.

---

Funkcje

Cel: Konfiguracja funkcji bezserwerowych, w tym ustawień czasu wykonywania, alokacji pamięci i polityk bezpieczeństwa.

Konfiguracje zabezpieczeń:

• Nic

---

Pamięć podręczna danych

Cel: Zarządzanie strategiami i ustawieniami pamięci podręcznej w celu optymalizacji wydajności i kontroli przechowywania danych.

Konfiguracje zabezpieczeń:

• Opróżnij pamięć podręczną
• Błąd w konfiguracji: Umożliwia usunięcie całej pamięci podręcznej.
• Ryzyko: Nieautoryzowani użytkownicy usuwający pamięć podręczną prowadzący do potencjalnego DoS.

---

Zadania Cron

Cel: Planowanie zautomatyzowanych zadań i skryptów do uruchamiania w określonych odstępach czasu.

Konfiguracje zabezpieczeń:

• Wyłącz zadanie Cron
• Błąd w konfiguracji: Umożliwia wyłączenie zadań cron zadeklarowanych w kodzie
• Ryzyko: Potencjalne przerwanie usługi (w zależności od tego, do czego miały służyć zadania cron)

---

Odpływy logów

Cel: Konfiguracja zewnętrznych usług logowania w celu przechwytywania i przechowywania logów aplikacji do monitorowania i audytowania.

Konfiguracje zabezpieczeń:

• Nic (zarządzane z ustawień zespołu)

---

Bezpieczeństwo

Cel: Centralne miejsce dla różnych ustawień związanych z bezpieczeństwem wpływających na dostęp do projektu, ochronę źródła i inne.

Konfiguracje zabezpieczeń:

Logi budowy i ochrona źródła

• Błąd w konfiguracji: Wyłączenie ochrony lub publiczne ujawnienie ścieżek /logs i /src.
• Ryzyko: Nieautoryzowany dostęp do logów budowy i kodu źródłowego, co prowadzi do wycieków informacji i potencjalnego wykorzystania luk w zabezpieczeniach.

Ochrona forka Git

• Błąd w konfiguracji: Umożliwienie nieautoryzowanych pull requestów bez odpowiednich przeglądów.
• Ryzyko: Złośliwy kod może zostać scalony z kodem źródłowym, wprowadzając luki w zabezpieczeniach lub tylne furtki.

Bezpieczny dostęp do backendu z OIDC Federation

• Błąd w konfiguracji: Nieprawidłowe skonfigurowanie parametrów OIDC lub używanie niebezpiecznych adresów URL wydawcy.
• Ryzyko: Nieautoryzowany dostęp do usług backendowych przez wadliwe przepływy autoryzacji.

Polityka przechowywania wdrożeń

• Błąd w konfiguracji: Ustawienie zbyt krótkich okresów przechowywania (utrata historii wdrożeń) lub zbyt długich (niepotrzebne przechowywanie danych).
• Ryzyko: Niemożność wykonania rollbacków w razie potrzeby lub zwiększone ryzyko ujawnienia danych z starych wdrożeń.

Ostatnio usunięte wdrożenia

• Błąd w konfiguracji: Nie monitorowanie usuniętych wdrożeń lub poleganie wyłącznie na automatycznych usunięciach.
• Ryzyko: Utrata krytycznej historii wdrożeń, co utrudnia audyty i rollbacki.

---

Zaawansowane

Cel: Dostęp do dodatkowych ustawień projektu w celu dostosowania konfiguracji i zwiększenia bezpieczeństwa.

Konfiguracje zabezpieczeń:

Lista katalogów

• Błąd w konfiguracji: Włączenie listy katalogów pozwala użytkownikom na przeglądanie zawartości katalogów bez pliku indeksu.
• Ryzyko: Ujawnienie wrażliwych plików, struktury aplikacji i potencjalnych punktów wejścia do ataków.

---

Zapora projektu

Zapora

Konfiguracje zabezpieczeń:

Włącz tryb wyzwania ataku

• Błąd w konfiguracji: Włączenie tego poprawia obronę aplikacji webowej przed DoS, ale kosztem użyteczności
• Ryzyko: Potencjalne problemy z doświadczeniem użytkownika.

Niestandardowe zasady i blokowanie IP

• Błąd w konfiguracji: Umożliwia odblokowanie/zablokowanie ruchu
• Ryzyko: Potencjalny DoS umożliwiający złośliwy ruch lub blokujący ruch legalny

---

Wdrożenie projektu

Źródło

• Błąd w konfiguracji: Umożliwia dostęp do odczytu pełnego kodu źródłowego aplikacji
• Ryzyko: Potencjalne ujawnienie wrażliwych informacji

Ochrona przed rozbieżnościami

• Błąd w konfiguracji: Ta ochrona zapewnia, że aplikacja klienta i serwera zawsze używają tej samej wersji, aby nie było rozbieżności, w których klient używa innej wersji niż serwer i dlatego się nie rozumieją.
• Ryzyko: Wyłączenie tego (jeśli włączone) może spowodować problemy z DoS w nowych wdrożeniach w przyszłości

---

Ustawienia zespołu

Ogólne

Konfiguracje zabezpieczeń:

• Transfer
• Błąd w konfiguracji: Umożliwia przeniesienie wszystkich projektów do innego zespołu
• Ryzyko: Atakujący może ukraść projekty
• Usuń projekt
• Błąd w konfiguracji: Umożliwia usunięcie zespołu ze wszystkimi projektami
• Ryzyko: Usunięcie projektów

---

Rozliczenia

Konfiguracje zabezpieczeń:

• Limit kosztów Speed Insights
• Błąd w konfiguracji: Atakujący może zwiększyć tę liczbę
• Ryzyko: Zwiększone koszty

---

Członkowie

Konfiguracje zabezpieczeń:

• Dodaj członków
• Błąd w konfiguracji: Atakujący może utrzymać trwałość, zapraszając konto, które kontroluje
• Ryzyko: Trwałość atakującego
• Role
• Błąd w konfiguracji: Przyznawanie zbyt wielu uprawnień osobom, które ich nie potrzebują, zwiększa ryzyko konfiguracji Vercel. Sprawdź wszystkie możliwe role w https://vercel.com/docs/accounts/team-members-and-roles/access-roles
• Ryzyko: Zwiększenie narażenia zespołu Vercel

---

Grupy dostępu

Grupa dostępu w Vercel to zbiór projektów i członków zespołu z przypisanymi rolami, co umożliwia centralne i uproszczone zarządzanie dostępem w wielu projektach.

Potencjalne błędy w konfiguracji:

• Nadmierne uprawnienia członków: Przypisywanie ról z większymi uprawnieniami niż to konieczne, co prowadzi do nieautoryzowanego dostępu lub działań.
• Nieprawidłowe przypisania ról: Nieprawidłowe przypisanie ról, które nie odpowiadają obowiązkom członków zespołu, powodujące eskalację uprawnień.
• Brak segregacji projektów: Nieoddzielanie wrażliwych projektów, co pozwala na szerszy dostęp niż zamierzono.
• Niewystarczające zarządzanie grupami: Nieprzeglądanie ani nieaktualizowanie regularnie grup dostępu, co skutkuje przestarzałymi lub nieodpowiednimi uprawnieniami dostępu.
• Niekonsekwentne definicje ról: Używanie niespójnych lub niejasnych definicji ról w różnych grupach dostępu, co prowadzi do zamieszania i luk w zabezpieczeniach.

---

Odpływy logów

Konfiguracje zabezpieczeń:

• Odpływy logów do stron trzecich:
• Błąd w konfiguracji: Atakujący może skonfigurować odpływ logów, aby ukraść logi
• Ryzyko: Częściowa trwałość

---

Bezpieczeństwo i prywatność

Konfiguracje zabezpieczeń:

• Domena e-mail zespołu: Po skonfigurowaniu to ustawienie automatycznie zaprasza osobiste konta Vercel z adresami e-mail kończącymi się na określonej domenie (np. mydomain.com) do dołączenia do twojego zespołu po rejestracji i na pulpicie.
• Błąd w konfiguracji:
• Określenie niewłaściwej domeny e-mail lub błędnie napisanej domeny w ustawieniu domeny e-mail zespołu.
• Używanie powszechnej domeny e-mail (np. gmail.com, hotmail.com) zamiast domeny specyficznej dla firmy.
• Ryzyka:
• Nieautoryzowany dostęp: Użytkownicy z adresami e-mail z niezamierzonych domen mogą otrzymać zaproszenia do dołączenia do twojego zespołu.
• Ujawnienie danych: Potencjalne ujawnienie wrażliwych informacji o projekcie osobom nieuprawnionym.
• Chronione zakresy Git: Umożliwia dodanie do 5 zakresów Git do twojego zespołu, aby zapobiec innym zespołom Vercel wdrażania repozytoriów z chronionego zakresu. Wiele zespołów może określić ten sam zakres, co umożliwia dostęp obu zespołów.
• Błąd w konfiguracji: Nie dodanie krytycznych zakresów Git do listy chronionej.
• Ryzyka:
• Nieautoryzowane wdrożenia: Inne zespoły mogą wdrażać repozytoria z zakresów Git twojej organizacji bez autoryzacji.
• Ujawnienie własności intelektualnej: Własny kod może zostać wdrożony i uzyskany poza twoim zespołem.
• Polityki zmiennych środowiskowych: Egzekwuje polityki dotyczące tworzenia i edytowania zmiennych środowiskowych zespołu. W szczególności możesz egzekwować, aby wszystkie zmienne środowiskowe były tworzone jako Wrażliwe zmienne środowiskowe, które mogą być odszyfrowane tylko przez system wdrożeniowy Vercel.
• Błąd w konfiguracji: Utrzymywanie wyłączenia egzekwowania wrażliwych zmiennych środowiskowych.
• Ryzyka:
• Ujawnienie sekretów: Zmienne środowiskowe mogą być przeglądane lub edytowane przez nieautoryzowanych członków zespołu.
• Naruszenie danych: Wrażliwe informacje, takie jak klucze API i poświadczenia, mogą zostać wycieknięte.
• Dziennik audytu: Zapewnia eksport aktywności zespołu za ostatnie 90 dni. Dzienniki audytu pomagają w monitorowaniu i śledzeniu działań członków zespołu.
• Błąd w konfiguracji:
  Przyznawanie dostępu do dzienników audytu nieautoryzowanym członkom zespołu.
• Ryzyka:
• Naruszenia prywatności: Ujawnienie wrażliwych działań i danych użytkowników.
• Manipulacja logami: Złośliwi aktorzy mogą zmieniać lub usuwać logi, aby ukryć swoje ślady.
• SAML Single Sign-On: Umożliwia dostosowanie autoryzacji SAML i synchronizacji katalogów dla twojego zespołu, umożliwiając integrację z dostawcą tożsamości (IdP) w celu centralnej autoryzacji i zarządzania użytkownikami.
• Błąd w konfiguracji: Atakujący może wprowadzić tylne furtki w ustawieniach zespołu, konfigurując parametry SAML, takie jak identyfikator encji, adres URL SSO lub odciski palców certyfikatu.
• Ryzyko: Utrzymanie trwałości
• Widoczność adresów IP: Kontroluje, czy adresy IP, które mogą być uważane za dane osobowe zgodnie z niektórymi przepisami o ochronie danych, są wyświetlane w zapytaniach monitorujących i odpływach logów.
• Błąd w konfiguracji: Pozostawienie widoczności adresów IP włączonej bez potrzeby.
• Ryzyka:
• Naruszenia prywatności: Nieprzestrzeganie przepisów o ochronie danych, takich jak RODO.
• Konsekwencje prawne: Potencjalne grzywny i kary za niewłaściwe zarządzanie danymi osobowymi.
• Blokowanie IP: Umożliwia konfigurację adresów IP i zakresów CIDR, z których Vercel powinien blokować żądania. Zablokowane żądania nie przyczyniają się do twojego rozliczenia.
• Błąd w konfiguracji: Może być nadużywane przez atakującego, aby umożliwić złośliwy ruch lub zablokować ruch legalny.
• Ryzyka:
• Odmowa usługi dla legalnych użytkowników: Blokowanie dostępu dla ważnych użytkowników lub partnerów.
• Zakłócenia operacyjne: Utrata dostępności usługi dla niektórych regionów lub klientów.

---

Bezpieczne obliczenia

Vercel Secure Compute umożliwia bezpieczne, prywatne połączenia między funkcjami Vercel a środowiskami backendowymi (np. bazami danych) poprzez ustanowienie izolowanych sieci z dedykowanymi adresami IP. Eliminuje to potrzebę publicznego ujawniania usług backendowych, zwiększając bezpieczeństwo, zgodność i prywatność.

Potencjalne błędy w konfiguracji i ryzyka

1. Nieprawidłowy wybór regionu AWS

• Błąd w konfiguracji: Wybór regionu AWS dla sieci Secure Compute, który nie odpowiada regionowi usług backendowych.
• Ryzyko: Zwiększone opóźnienia, potencjalne problemy z zgodnością z przepisami o miejscu przechowywania danych oraz pogorszenie wydajności.

2. Nakładające się bloki CIDR

• Błąd w konfiguracji: Wybór bloków CIDR, które nakładają się na istniejące VPC lub inne sieci.
• Ryzyko: Konflikty sieciowe prowadzące do nieudanych połączeń, nieautoryzowanego dostępu lub wycieku danych między sieciami.

3. Nieprawidłowa konfiguracja peeringu VPC

• Błąd w konfiguracji: Nieprawidłowe skonfigurowanie peeringu VPC (np. błędne identyfikatory VPC, niekompletne aktualizacje tabeli tras).
• Ryzyko: Nieautoryzowany dostęp do infrastruktury backendowej, nieudane bezpieczne połączenia i potencjalne naruszenia danych.

4. Nadmierne przypisania projektów

• Błąd w konfiguracji: Przypisanie wielu projektów do jednej sieci Secure Compute bez odpowiedniej izolacji.
• Ryzyko: Wspólna ekspozycja IP zwiększa powierzchnię ataku, co potencjalnie pozwala skompromitowanym projektom wpływać na inne.

5. Niewystarczające zarządzanie adresami IP

• Błąd w konfiguracji: Nieprawidłowe zarządzanie lub rotacja dedykowanych adresów IP.
• Ryzyko: Fałszowanie IP, luki w śledzeniu i potencjalne umieszczanie na czarnej liście, jeśli IP są powiązane z działalnością złośliwą.

6. Niepotrzebne włączanie kontenerów budowlanych

• Błąd w konfiguracji: Dodawanie kontenerów budowlanych do sieci Secure Compute, gdy dostęp do backendu nie jest wymagany podczas budowy.
• Ryzyko: Zwiększona powierzchnia ataku, wydłużone opóźnienia w przydzielaniu zasobów i niepotrzebne zużycie zasobów sieciowych.

7. Brak bezpiecznego zarządzania sekretami omijania

• Błąd w konfiguracji: Ujawnianie lub niewłaściwe zarządzanie sekretami używanymi do omijania ochrony wdrożeń.
• Ryzyko: Nieautoryzowany dostęp do chronionych wdrożeń, co pozwala atakującym manipulować lub wdrażać złośliwy kod.

8. Ignorowanie konfiguracji failover regionu

• Błąd w konfiguracji: Nie skonfigurowanie pasywnych regionów failover lub nieprawidłowe skonfigurowanie ustawień failover.
• Ryzyko: Przestoje usług podczas awarii głównego regionu, co prowadzi do zmniejszonej dostępności i potencjalnej niespójności danych.

9. Przekroczenie limitów połączeń peeringu VPC

• Błąd w konfiguracji: Próba nawiązania większej liczby połączeń peeringu VPC niż dozwolony limit (np. przekroczenie 50 połączeń).
• Ryzyko: Niemożność bezpiecznego połączenia z niezbędnymi usługami backendowymi, co powoduje niepowodzenia wdrożeń i zakłócenia operacyjne.

10. Niebezpieczne ustawienia sieciowe

• Błąd w konfiguracji: Słabe zasady zapory, brak szyfrowania lub niewłaściwa segmentacja sieci w sieci Secure Compute.
• Ryzyko: Przechwytywanie danych, nieautoryzowany dostęp do usług backendowych i zwiększona podatność na ataki.

---

Zmienne środowiskowe

Cel: Zarządzanie zmiennymi i sekretami specyficznymi dla środowiska używanymi przez wszystkie projekty.

Konfiguracje zabezpieczeń:

• Ujawnianie wrażliwych zmiennych
• Błąd w konfiguracji: Prefiksowanie wrażliwych zmiennych NEXT_PUBLIC_, co czyni je dostępnymi po stronie klienta.
• Ryzyko: Ujawnienie kluczy API, poświadczeń bazy danych lub innych wrażliwych danych publicznie, co prowadzi do naruszeń danych.
• Wrażliwe wyłączone
• Błąd w konfiguracji: Jeśli wyłączone (domyślnie), możliwe jest odczytanie wartości wygenerowanych sekretów.
• Ryzyko: Zwiększone prawdopodobieństwo przypadkowego ujawnienia lub nieautoryzowanego dostępu do wrażliwych informacji.

{{#include ../banners/hacktricks-training.md}}