Разработчик обнаружил 12 уязвимостей в собственном приложении-планировщике

Проект, изначально задуманный как простой todo-лист, быстро превратился в полноценный продукт с ИИ-помощником. Однако, после аномального наплыва 176 ботов, регистрировавшихся в системе за две недели, разработчик провёл глубокий аудит безопасности.

В ходе проверки он выявил такие критические недостатки, как хранимый XSS через JSON-LD, возможность доступа к чужим задачам по одному идентификатору и сессии, которые невозможно было завершить даже сменой пароля. Одной из наиболее неожиданных уязвимостей стал лёгкий обход всех лимитов по IP через простую модификацию HTTP-заголовка. Разработчик смог воспроизвести этот обход на собственном продакшене, получив 40 запросов без единого отказа.

Кроме проблем безопасности, аудиту подвергся и ИИ-помощник, который работал на ключе пользователя. Были обнаружены недоработки в асинхронном генераторе ответов, который игнорировал часть результатов. Этот случай подчёркивает важность регулярных проверок безопасности и тщательного тестирования даже для небольших проектов, особенно при интеграции сторонних сервисов и активном привлечении пользователей.