Nick.Rosenloecher/ApiCore
1
0 Fork 0
Code Issues 22 Pull Requests Actions 4 Packages Projects Releases Wiki Activity

API-Sicherheitsaudit nach OWASP API Top 10 / ASVS L2 (Oktober 2026) #8

New Issue
Closed
opened 2026-10-16 05:57:57 +00:00 by Nick.Rosenloecher · 0 comments
Nick.Rosenloecher commented 2026-10-16 05:57:57 +00:00
Owner
Copy link
Copy source

Ziel

Das ganze Backend nach OWASP API Security Top 10 (2023) und ASVS Level 2 prüfen und alle Befunde beheben.

Umgesetzt

25 Befunde, alle umgesetzt außer zwei begründeten Restpunkten (ARCHITECTURE §9):

  • Kritisch: MFA-Zwischen-Token galt als Access-Token (e0bd7b20)
  • Hoch: Übernahme von Admin-Konten über users:update (c4a11b47), SSO über unverifizierten E-Mail-Claim (a25265b8), Backup-Import/-Export mit Hashes und Pfad-Traversal (bd592adf)
  • Mittel: Backup-Pfad und Zeitplan (ebeb499a), Webhooks DNS-Rebinding und Signatur (79d20ee6), TOTP-Replay und Kontosperre (5c666fe4), Refresh-Rotation atomar (2de93bc0), Throttler vor Auth, CSP und Logs ohne Query (9ae1d96a), API-Schlüssel mit IP-Bindung (f1dc0de3), CSV-Formel-Injection (61e32474), Passwortregel und Leak-Abgleich (0ba8996e)
  • Niedrig bis mittel: Suche nur über lesbare Objekte (eafe925d), öffentliche Chargen-Seite und SSO-Callback (08995762), Einmal-Tokens und Rechte-Cache je Replika (45efb083)
  • Doku: Sicherheitsmodell und Betriebshinweise (8b6f48b9)

Grundlage

ARCHITECTURE.md Abschnitt 9, docs/pruefung-2026-09.md Abschnitt „API-Sicherheit“.

Status

Code: ja · Geprüft: ja (Unit + E2E gegen Postgres 17) · Gemergt: ja · Produktiv: ja
Stand: 2026-10-16 (Quelle: git origin/main b48fb157, Cluster-Abfrage 2026-10-16, Session-Status vs-code-ff, Memory)
Im Cluster läuft seit 2026-10-12 das Backend-Image sha-f5b1964 (Commit f5b19642) und ein Frontend-Image vom 2026-10-12 03:23 UTC. Alles ab Paket 0 (10cbe9bf) ist gebaut, aber nicht ausgerollt.

## Ziel Das ganze Backend nach OWASP API Security Top 10 (2023) und ASVS Level 2 prüfen und alle Befunde beheben. ## Umgesetzt 25 Befunde, alle umgesetzt außer zwei begründeten Restpunkten (ARCHITECTURE §9): - [x] Kritisch: MFA-Zwischen-Token galt als Access-Token (e0bd7b20) - [x] Hoch: Übernahme von Admin-Konten über `users:update` (c4a11b47), SSO über unverifizierten E-Mail-Claim (a25265b8), Backup-Import/-Export mit Hashes und Pfad-Traversal (bd592adf) - [x] Mittel: Backup-Pfad und Zeitplan (ebeb499a), Webhooks DNS-Rebinding und Signatur (79d20ee6), TOTP-Replay und Kontosperre (5c666fe4), Refresh-Rotation atomar (2de93bc0), Throttler vor Auth, CSP und Logs ohne Query (9ae1d96a), API-Schlüssel mit IP-Bindung (f1dc0de3), CSV-Formel-Injection (61e32474), Passwortregel und Leak-Abgleich (0ba8996e) - [x] Niedrig bis mittel: Suche nur über lesbare Objekte (eafe925d), öffentliche Chargen-Seite und SSO-Callback (08995762), Einmal-Tokens und Rechte-Cache je Replika (45efb083) - [x] Doku: Sicherheitsmodell und Betriebshinweise (8b6f48b9) ## Grundlage `ARCHITECTURE.md` Abschnitt 9, `docs/pruefung-2026-09.md` Abschnitt „API-Sicherheit“. ## Status Code: ja · Geprüft: ja (Unit + E2E gegen Postgres 17) · Gemergt: ja · Produktiv: ja Stand: 2026-10-16 (Quelle: git origin/main b48fb157, Cluster-Abfrage 2026-10-16, Session-Status vs-code-ff, Memory) Im Cluster läuft seit 2026-10-12 das Backend-Image `sha-f5b1964` (Commit f5b19642) und ein Frontend-Image vom 2026-10-12 03:23 UTC. Alles ab Paket 0 (10cbe9bf) ist gebaut, aber nicht ausgerollt.
Nick.Rosenloecher added the art/technikprio/hochstatus/erledigt labels 2026-10-16 05:57:58 +00:00
Sign in to join this conversation.
No Branch/Tag Specified
Labels
Clear labels
art/bug
art/design
art/doku
art/feature
art/technik
bereit-zur-pruefung
PR offen, wartet auf Review/Merge
 blockiert
Wartet auf Entscheidung oder externen Zugang; Ursache im Issue
 prio/hoch
prio/mittel
prio/niedrig
status/erledigt
Umgesetzt, geprueft und in main integriert
 status/in-arbeit
Wird aktuell umgesetzt
 status/offen
Erfasst, noch nicht begonnen
No labels art/technik prio/hoch status/erledigt
Milestone
No items
No Milestone
Projects
Clear projects
No projects
Assignees
Clear assignees
Nick.Rosenloecher
No Assignees
1 Participants
Notifications
Due Date
No due date set.
Dependencies

No dependencies set.

Reference: Nick.Rosenloecher/ApiCore#8