[CL-SEC] аудит Q2 CRITICAL#3: убрать _skipOtp из публичного requestPayout (cron → requestScheduledPayout) #784

Merged

andrei merged 1 commit from feature/claude-sec-q2-skipotp into master 2026-06-20 12:15:09 +00:00

Conversation 0 Commits 1 Files changed -

andrei commented 2026-06-20 10:52:34 +00:00

Owner

Copy link

Что сделано

CRITICAL #3 квартального аудита (SEC-Q2-2026). _skipOtp был полем data-объекта requestPayout (форма HTTP-body). Хотя Zod-схема срезает его на HTTP-входе, любой service-layer caller мог передать _skipOtp: true и обойти OTP + 24h IBAN-cooldown.

• Bypass вынесен из data в явный internal-параметр requestPayout(..., { skipOtp }).
• Добавлен requestScheduledPayout() — единственный санкционированный путь обхода (cron). Re-export через income-payout/index.ts + income.service.ts.
• Cron (payoutSchedule.service.ts) переведён на requestScheduledPayout.
• Публичный requestPayout теперь игнорирует протащенный _skipOtp → OTP/cooldown обязательны.

Зачем

Defense-in-depth: даже если внутренний код (будущий рефактор, worker) передаст _skipOtp в data-объекте, обход невозможен — bypass только через явную, greppable функцию.

План тестирования

• Новые тесты: SEC-Q2: public requestPayout ignores smuggled _skipOtp (income-payout.test), BANK-SEC-6b (deep-payment-audit), requestScheduledPayout bypasses OTP (BANK-SEC-6).
• vitest затронутые: 192/192. tsc --noEmit clean, eslint --max-warnings 0 clean. pre-push зелёный.

Где могу ошибаться

• requestScheduledPayout сигнатура наследует тип data от requestPayout через Parameters<> — cron передаёт maxAmount, поле осталось в публичном типе (нужно scheduled-пути).
• Финансовый путь (Rule C audit comment добавлен; Rule 103.1) → merge требует sign-off CEO.
• Независим от PR #781 (разные файлы), можно мёржить в любом порядке.

## Что сделано CRITICAL #3 квартального аудита (SEC-Q2-2026). `_skipOtp` был полем `data`-объекта `requestPayout` (форма HTTP-body). Хотя Zod-схема срезает его на HTTP-входе, любой service-layer caller мог передать `_skipOtp: true` и обойти OTP + 24h IBAN-cooldown. - Bypass вынесен из `data` в явный internal-параметр `requestPayout(..., { skipOtp })`. - Добавлен `requestScheduledPayout()` — единственный санкционированный путь обхода (cron). Re-export через `income-payout/index.ts` + `income.service.ts`. - Cron (`payoutSchedule.service.ts`) переведён на `requestScheduledPayout`. - Публичный `requestPayout` теперь игнорирует протащенный `_skipOtp` → OTP/cooldown обязательны. ## Зачем Defense-in-depth: даже если внутренний код (будущий рефактор, worker) передаст `_skipOtp` в data-объекте, обход невозможен — bypass только через явную, greppable функцию. ## План тестирования - Новые тесты: `SEC-Q2: public requestPayout ignores smuggled _skipOtp` (income-payout.test), `BANK-SEC-6b` (deep-payment-audit), `requestScheduledPayout bypasses OTP` (BANK-SEC-6). - `vitest` затронутые: 192/192. `tsc --noEmit` clean, `eslint --max-warnings 0` clean. pre-push зелёный. ## Где могу ошибаться - `requestScheduledPayout` сигнатура наследует тип `data` от `requestPayout` через `Parameters<>` — cron передаёт `maxAmount`, поле осталось в публичном типе (нужно scheduled-пути). - Финансовый путь (Rule C audit comment добавлен; Rule 103.1) → merge требует sign-off CEO. - Независим от PR #781 (разные файлы), можно мёржить в любом порядке.

andrei added 1 commit 2026-06-20 10:52:35 +00:00

[CL-SEC] аудит Q2 CRITICAL#3: убрать _skipOtp из публичного requestPayout ... 6df187dcd0

_skipOtp был полем data-объекта requestPayout (форма HTTP-body). Zod-схема его срезает
на HTTP-входе, но любой service-layer вызов мог передать _skipOtp:true и обойти OTP+IBAN
cooldown. Перенёс bypass в явный internal-параметр; добавил requestScheduledPayout() —
единственный санкционированный cron-путь. Публичный requestPayout теперь игнорирует
протащенный _skipOtp (тесты SEC-Q2 + BANK-SEC-6b). Cron-вызов переведён на новую функцию.

AUDIT: SEC-Q2-2026

andrei referenced this pull request from a commit 2026-06-20 11:07:31 +00:00

[CL-SEC] аудит Q2: #3 fixed (PR #784), #4/#5 disproven при верификации

andrei referenced this pull request from a commit 2026-06-20 11:40:47 +00:00

[CL-SEC] аудит Q2 #784 (code-review): pin IBAN cooldown в BANK-SEC-6b

andrei added 2 commits 2026-06-20 11:40:48 +00:00

[CL-SEC] аудит Q2 #784 (code-review): pin IBAN cooldown в BANK-SEC-6b ... f418bf1e2a

Code-review LOW: BANK-SEC-6b полагался на default-undefined mock payoutScheduleConfig;
явно мокаем findFirst→null, чтобы reject был однозначно от OTP-гейта, не от IBAN cooldown.

AUDIT: SEC-Q2-2026

feat(admin-modernize): GrantRewardModal and CreateProposalModal refactored to shared Modal, wrapped toggles and filter states in View Transitions (Iteration 108) 63d6008a67

andrei added 1 commit 2026-06-20 12:15:05 +00:00

Merge branch 'master' into feature/claude-sec-q2-skipotp 32e48bb2bb

andrei merged commit 95b6905666 into master 2026-06-20 12:15:09 +00:00

andrei deleted branch feature/claude-sec-q2-skipotp 2026-06-20 12:15:10 +00:00

andrei referenced this pull request from a commit 2026-06-20 12:15:10 +00:00

Merge pull request '[CL-SEC] аудит Q2 CRITICAL#3: убрать _skipOtp из публичного requestPayout (cron → requestScheduledPayout)' (#784) from feature/claude-sec-q2-skipotp into master

Sign in to join this conversation.

Reviewers

No reviewers

Labels

Clear labels   

ci-failing

  

duplicate

  

needs-rebase

No labels

ci-failing

duplicate

needs-rebase

Milestone

Clear milestone

No items

No milestone

Projects

Clear projects

No items

No project

Assignees

Clear assignees

No assignees

1 participant

Notifications

Subscribe

Due date

The due date is invalid or out of range. Please use the format "yyyy-mm-dd".

No due date set.

Dependencies

No dependencies set.

Reference

europa-tech-srl/europatech!784

No description provided.