UIES - Audyt Bezpieczeństwa - app.klient-przyklad.pl

Cel: app.klient-przyklad.pl · Data: 2026-10-06 09:58

Ocena ryzyka

40/100

WYSOKIE

Streszczenie zarządcze
Przeprowadzilismy audyt bezpieczenstwa aplikacji webowej Klienta. Najpowazniejsze ustalenie to publicznie dostepny plik konfiguracyjny z danymi dostepowymi - wymaga natychmiastowej reakcji (blokada i rotacja hasel). Poza tym: nieaktualny serwer z znanymi podatnosciami i blad konfiguracji CORS w API do poprawy w drugiej kolejnosci, oraz drobne braki (SPF/DMARC, naglowki). Na plus: logowanie poprawnie blokuje ataki slownikowe. Rekomendacje i priorytety sa przy kazdym znalezisku; chetnie przeprowadzimy ponowny audyt po naprawach.

Podsumowanie

0CRITICAL

1HIGH

2MEDIUM

3LOW

1GOOD

3INFO

Znaleziska

HIGH

Ujawniony plik konfiguracyjny (.env)

content

CVSS 7.5A05:2021 Security MisconfigurationCWE-538

Opis

Plik .env był dostępny publicznie i zawierał dane dostępowe do bazy oraz klucze API.

Dowód

GET https://app.klient-przyklad.pl/.env -> 200 DB_PASSWORD=*** (zamaskowane w raporcie)

Rekomendacja

Zablokuj dostęp do plików konfiguracyjnych na serwerze i natychmiast zrotuj ujawnione hasła i klucze.

Odnośnik

https://owasp.org/www-project-secure-headers/

Komentarz analityka

Potwierdzone recznie: plik realnie zawieral dzialajace dane dostepowe. Priorytet 1 - blokada i rotacja przed czymkolwiek innym.

MEDIUM

Nieaktualny serwer z znanymi podatnosciami

cve_map

CVSS 6.5CWE-1035

Opis

Wersja oprogramowania serwera ma publicznie znane podatnosci (CVE).

Dowód

nginx 1.18.0 -> m.in. CVE-2021-23017 (CVSS 7.3)

Rekomendacja

Zaktualizuj serwer do wersji bez wskazanych CVE.

MEDIUM

CORS odbija dowolny Origin

web

CVSS 5.0A05:2021 Security MisconfigurationCWE-942

Opis

Serwer odbija przeslany Origin. Ryzyko zalezne od wrazliwosci danych zwracanych przez API.

Rekomendacja

Ogranicz Access-Control-Allow-Origin do zaufanych domen.

LOW

Brak rekordu SPF

dns_mail

A05:2021 Security Misconfiguration

Opis

Brak SPF ulatwia podszywanie sie pod domene w poczcie.

Rekomendacja

Dodaj rekord TXT v=spf1 ... -all.

LOW

Brak rekordu DMARC

dns_mail

Opis

Brak DMARC - brak egzekwowania polityki antyspoofingowej.

Rekomendacja

Dodaj _dmarc TXT v=DMARC1; p=reject.

LOW

Brak naglowkow bezpieczenstwa

web

A05:2021 Security Misconfiguration

Opis

Brakuje zalecanych naglowkow HTTP (CSP, X-Frame-Options, nosniff, Referrer-Policy).

Rekomendacja

Dodaj brakujace naglowki na serwerze/reverse-proxy.

Odnośnik

https://owasp.org/www-project-secure-headers/

GOOD

Logowanie broni sie przed atakiem slownikowym

active_bruteforce

Opis

Po serii blednych prob serwer zablokowal dalsze logowania (lockout). Zabezpieczenie dziala prawidlowo.

INFO

Otwarty port 443/tcp - https

discovery

Dowód

443/tcp https nginx

INFO

Wykryte technologie

web

Dowód

nginx, PHP, jQuery, Bootstrap

INFO

Zmapowano 37 endpointow

crawl

Dowód

/, /login, /api, /panel, /uploads ... (lista skrocona)

Surowe logi narzędzi

nmap.txt

$ nmap -sV app.klient-przyklad.pl
PORT     STATE SERVICE
443/tcp  open  https nginx
(fragment, zanonimizowany)

Badanie wykonane za pisemną zgodą właściciela celu. Raport poufny. Wynik „GOOD” oznacza zabezpieczenie działające poprawnie.