AUDIT COMPLET - connectors-api

Date : 15/02/2026 Status : IMPLEMENTEE Projet : /stock_8to/33800-stack/projects/connectors-api/ Runtime : Bun / Elysia (TypeScript) Fichiers audites : 35 fichiers source TypeScript

RESUME EXECUTIF

Severite	Nombre
CRITIQUE	5
HAUTE	10
MOYENNE	10
BASSE	9
TOTAL	34

1. SECURITE

S-01 [CRITIQUE] JWT signature non verifiee

Fichier : src/middleware/jwt.ts ligne 29-51
Description : La fonction verifyJWT() decode le payload JWT (base64) mais ne verifie JAMAIS la signature HMAC. Un attaquant peut forger un JWT arbitraire avec n'importe quel sub (user_id). Le JWT_SECRET est lu ligne 8 mais jamais utilise.
Impact : Usurpation d'identite complete. N'importe qui peut se faire passer pour n'importe quel utilisateur.
Fix propose : Implementer la verification HMAC-SHA256 avec crypto.createHmac('sha256', JWT_SECRET) sur header.payload et comparer avec la signature (parts[2]).

S-02 [CRITIQUE] POST /api/connectors/:id/token sans authentification

Fichier : src/index.ts ligne 1767-1787
Description : L'endpoint POST /api/connectors/:id/token permet de definir un token systeme pour un connecteur. Aucun middleware d'authentification n'est applique. Le handler ne verifie ni JWT ni API key.
Impact : N'importe qui peut ecraser les tokens d'authentification des connecteurs systeme.
Fix propose : Ajouter requireAuthWithScope(request.headers, SCOPES.CONNECTORS_WRITE) et verifier que l'utilisateur est admin.

S-03 [CRITIQUE] /api/fetch accepte les requetes non authentifiees

Fichier : src/index.ts lignes 201-204
Description : L'endpoint /api/fetch utilise getAuthFromRequest() qui retourne null si pas de token. Le code continue avec userId = null, permettant des appels proxy sans authentification.
Impact : Acces non authentifie aux APIs externes via le proxy. L'audit log enregistre userId: null.
Fix propose : Ajouter un guard if (!auth) return { success: false, status: 401, error: 'Authentication required' }; apres la ligne 203.

S-04 [HAUTE] Injection de commande SSH dans setupAutoKey

Fichier : src/services/ssh.ts ligne 997
Description : La cle publique SSH sshPublicKey est interpolee directement dans une commande shell avec des single quotes. Si la cle contient un single quote (ou est manipulee), la commande shell est injectable : echo '${sshPublicKey}' >> ~/.ssh/authorized_keys
Impact : Execution de commandes arbitraires sur le serveur distant.
Fix propose : Utiliser SFTP pour ecrire dans authorized_keys au lieu de echo, ou au minimum echapper correctement la cle.

S-05 [HAUTE] Variable escapedContent inutilisee, contenu brut dans heredoc

Fichier : src/services/ssh.ts lignes 1067-1068
Description : La variable escapedContent est calculee (single quotes echappees) mais c'est fileContent (non echappe) qui est utilise dans le heredoc. Si le contenu du fichier contient la chaine EOFCONNECTORSHUB, le heredoc se termine prematurement et le reste est interprete comme commande shell.
Impact : Injection de commandes si le contenu uploade contient le delimiteur heredoc.
Fix propose : Utiliser SFTP pour les uploads, ou generer un delimiteur unique aleatoire, ou encoder le contenu en base64 et decoder cote serveur.

S-06 [HAUTE] Cle de chiffrement par defaut en production

Fichier : src/services/ssh.ts ligne 105, src/services/wireguard.ts ligne 16, src/services/vpn-profiles.ts ligne 12
Description : ENCRYPTION_KEY = process.env.SSH_ENCRYPTION_KEY || 'default-key-change-in-production-32!'. Si la variable d'environnement n'est pas definie, tous les credentials SSH/VPN sont chiffres avec une cle publiquement connue (dans le code source).
Impact : Dechiffrement de tous les credentials SSH et VPN stockes en base.
Fix propose : Lever une erreur fatale au demarrage si SSH_ENCRYPTION_KEY n'est pas defini. Ne JAMAIS avoir de valeur par defaut pour une cle de chiffrement.

S-07 [HAUTE] Salt statique 'salt' pour la derivation de cle

Fichier : src/services/ssh.ts lignes 109, 119 ; src/services/wireguard.ts lignes 78, 88 ; src/services/vpn-profiles.ts lignes 78, 88
Description : crypto.scryptSync(ENCRYPTION_KEY, 'salt', 32) utilise le salt litteral 'salt' dans les 3 fichiers (6 occurrences). Le salt est cense etre unique et aleatoire par operation.
Impact : Reduit la securite de scrypt au niveau d'un simple hash. Les rainbow tables deviennent applicables.
Fix propose : Generer un salt aleatoire de 16 bytes, le stocker en prefixe du texte chiffre (comme le IV), et le relire au dechiffrement.

S-08 [HAUTE] new Function() pour le code utilisateur (transform actions)

Fichier : src/services/actions.ts ligne 853
Description : new Function('input', 'ctx', ...) execute du JavaScript fourni par l'utilisateur (config.code). Le contexte ctx expose fetch() (appels API), la liste des instances, actions et routines.
Impact : Execution de code arbitraire cote serveur. Acces au reseau interne, exfiltration de donnees via ctx.fetch().
Fix propose : Executer dans un Worker isole (Bun Worker ou subprocess) avec timeout, limites memoire, et sans acces au contexte global. Ou utiliser une sandbox JavaScript comme isolated-vm.

S-09 [HAUTE] OAuth state non signe (CSRF)

Fichier : src/services/auth.ts ligne 26, src/services/oauth.ts lignes 99-103
Description : Le parametre state OAuth contient user_id et nonce en base64, mais n'est pas signe (HMAC). Un attaquant peut forger un state avec n'importe quel user_id et rediriger le callback OAuth pour lier son propre compte Google au compte de la victime.
Impact : Liaison de comptes OAuth croises (account takeover partiel).
Fix propose : Signer le state avec HMAC-SHA256 en utilisant un secret serveur. Verifier la signature au callback.

S-10 [MOYENNE] CORS n'inclut pas X-API-Key dans allowedHeaders

Fichier : src/index.ts ligne 53
Description : allowedHeaders: ['Content-Type', 'Authorization'] mais le middleware JWT (ligne 61 de jwt.ts) lit aussi headers.get('x-api-key'). Les requetes CORS preflight avec X-API-Key seront rejetees par le navigateur.
Impact : Les API keys ne fonctionnent pas depuis un navigateur (CORS preflight echoue).
Fix propose : Ajouter 'X-API-Key' a la liste allowedHeaders.

S-11 [MOYENNE] listActive retourne TOUS les tunnels (pas filtres par user)

Fichier : src/services/wireguard.ts lignes 470-486
Description : Le commentaire dit // Filter tunnels by user (would need to track this) mais le code retourne tous les tunnels du sidecar sans filtrage.
Impact : Un utilisateur peut voir les tunnels VPN des autres utilisateurs.
Fix propose : Maintenir un mapping instanceId -> userId et filtrer les tunnels retournes.

2. BUGS LOGIQUES

B-01 [CRITIQUE] wireguard.ts utilise la mauvaise API Supabase

Fichier : src/services/wireguard.ts lignes 153-158, 173-177, 233-238, 271-275, 317-322, 371-375, 434-439, 517-520, 543-546, 592-597, 626-631, 640-644
Description : TOUT le fichier wireguard.ts utilise supabase.from('user_connectors').select(...), .update(...), .eq(...), .single(), .not(...). Mais le wrapper Supabase (src/db/supabase.ts) n'expose PAS ces methodes chainees. Il expose supabase.select(), supabase.update(), supabase.insert(). L'API chaineee est celle du SDK @supabase/supabase-js qui n'est PAS installe (absent de package.json).
Impact : CRASH au runtime a chaque appel. Toutes les fonctions VPN sont cassees (generate keys, configure, connect, disconnect, status, list, reconnect, getConfig, deleteConfig).
Fix propose : Reecrire TOUTES les requetes Supabase en utilisant supabase.select(), supabase.update() etc. conforme a src/db/supabase.ts.

B-02 [HAUTE] Ternaire scope check est un no-op

Fichier : src/index.ts lignes 207-208
Description : const requiredScope = body.method === 'GET' ? SCOPES.FETCH : SCOPES.FETCH; - les deux branches du ternaire retournent SCOPES.FETCH. La distinction GET vs autres methodes est morte.
Impact : Pas de differenciation de scope entre lecture et ecriture pour /api/fetch. Le scope FETCH_READ n'est jamais utilise.
Fix propose : const requiredScope = body.method === 'GET' ? SCOPES.FETCH_READ : SCOPES.FETCH;

B-03 [HAUTE] Variable shadowing: auth (AuthResult) vs auth (service)

Fichier : src/index.ts ligne 1648
Description : Le bloc des routes /api/user/connectors/ utilise auth.getAuthUrl(connector, userId) ou auth est le service importe de ./services/auth. Mais dans le scope parent, auth est aussi le nom de la variable AuthResult issue de requireAuthWithScope(). Si la variable auth du scope englobant masque l'import, l'appel .getAuthUrl() echoue.
Impact : Potentiel crash TypeScript ou appel de methode sur le mauvais objet selon la portee de la variable.
Fix propose : Renommer l'import auth en authService ou la variable locale auth en authResult pour eviter le shadowing.

B-04 [MOYENNE] audit.log appele avec les mauvais noms de champs

Fichier : src/index.ts lignes 1352-1359, 1405-1412, 1448-1455
Description : Ces 3 appels utilisent user_id, connector_id, resource_id (snake_case). L'interface AuditLogInput attend userId, connectorId, resourceId (camelCase). De plus, audit.log(input, request) passe un second argument request que la signature log(input: AuditLogInput) n'accepte pas (ignore silencieusement).
Impact : Les champs user_id, connector_id, resource_id sont ignores. Les audit logs de creation/update/suppression d'endpoints n'ont pas de user_id ni de connector_id.
Fix propose : Utiliser userId, connectorId, resourceId (camelCase). Supprimer le second argument request.

B-05 [MOYENNE] evaluateCondition utilise egalite lache (==)

Fichier : src/services/routineExpressions.ts lignes 117-119
Description : case 'equals': return left == right; et case 'not_equals': return left != right; utilisent la comparaison lache JavaScript. "0" == false est true, "" == 0 est true, etc.
Impact : Comportement inattendu des conditions dans les routines. Des branches de workflow peuvent s'executer (ou pas) de maniere incorrecte.
Fix propose : Convertir explicitement les types si necessaire, ou utiliser === / !== apres conversion de type appropriee.

B-06 [MOYENNE] convertToOpenSSH ne fonctionne pas correctement

Fichier : src/services/ssh.ts lignes 1033-1043
Description : Le commentaire dit This is a placeholder that won't work with all keys. La conversion PEM SPKI -> OpenSSH format est simplifiee a ssh-rsa ${base64} ce qui ne correspond pas au format reel (le format OpenSSH a un header binaire specifique).
Impact : L'auto-key setup (setupAutoKey) peut echouer car la cle publique installee n'est pas au bon format.
Fix propose : Utiliser une librairie comme sshpk ou generer directement des cles ed25519 au format OpenSSH natif.

B-07 [MOYENNE] Dead code dans actions.list() : query/params construits mais inutilises

Fichier : src/services/actions.ts lignes 191-214
Description : Les variables query (string) et params (URLSearchParams) sont construites avec la logique OR PostgREST et les filtres, mais ne sont JAMAIS utilisees. La requete reelle (ligne 232-235) utilise l'objet eq et le wrapper supabase.select().
Impact : Le filtre include_public (OR logic) ne fonctionne pas. Seules les actions du user sont retournees, jamais les publiques.
Fix propose : Supprimer le dead code (lignes 191-214) ou implementer la logique OR via l'URL brute du PostgREST si le wrapper ne supporte pas OR.

3. HARDCODE

H-01 [MOYENNE] IP:port hardcodee pour ai-orchestrator

Fichier : src/services/ai.ts ligne 159
Description : let baseUrl = 'http://192.168.1.12:5501' comme fallback pour downloadJobFile.
Fix propose : Utiliser process.env.AI_ORCHESTRATOR_URL ou resoudre via l'instance connectors.

H-02 [MOYENNE] IP:port hardcodee pour notif-logger

Fichier : src/services/notify.ts ligne 5
Description : const NOTIF_URL = process.env.NOTIF_URL || 'http://192.168.1.12:5300'
Fix propose : S'assurer que NOTIF_URL est toujours defini dans l'env. Lever une erreur si absent.

H-03 [MOYENNE] IP:port hardcodee pour Supabase dans isAdmin

Fichier : src/services/userStorage.ts ligne 501
Description : const SUPABASE_URL = process.env.SUPABASE_URL || 'http://192.168.1.12:8000'
Fix propose : Reutiliser l'URL Supabase du wrapper src/db/supabase.ts qui a deja la meme logique.

H-04 [BASSE] GPU_NAMES duplique dans 2 fichiers

Fichier : src/services/aiChat.ts lignes 587-590, src/services/intentExecutor.ts lignes 215-218
Description : const GPU_NAMES: Record<number, string> = { 0: 'RTX 3090', 1: 'RTX 2070 Super' } est defini identiquement dans 2 fichiers.
Fix propose : Extraire dans un fichier partage (src/constants/gpu.ts ou src/services/ai.ts).

H-05 [BASSE] Version incoherente dans 3 endroits

Fichier : package.json ligne 3 (2.3.2), src/index.ts ligne 60 (2.5.0), src/index.ts ligne 181 (2.4.0)
Description : 3 numeros de version differents dans le meme projet. package.json dit 2.3.2, Swagger dit 2.5.0, la route /health dit 2.4.0.
Fix propose : Lire la version depuis package.json et l'utiliser partout : import pkg from '../package.json'; const VERSION = pkg.version;

4. SESSIONS / AUTH

A-01 [CRITIQUE] (= S-01) JWT signature non verifiee

Voir S-01 ci-dessus.

A-02 [HAUTE] /api/fetch scope check conditionnel mal construit

Fichier : src/index.ts lignes 207-208
Description : Le check if (auth?.scopes !== null && auth?.scopes) est vrai UNIQUEMENT pour les API keys (scopes = array). Pour les JWT (scopes = null), le check est saute. Mais le vrai probleme est que si auth est null (pas authentifie), auth?.scopes est undefined, et undefined !== null est true, donc le code entre dans le bloc de verification des scopes sur un objet null.
Impact : Pour un utilisateur non authentifie, auth?.scopes est undefined, undefined !== null est true, undefined est falsy, donc le && court-circuite et le check est saute. Le code continue sans authentification. Le comportement est correct par accident mais fragile.
Fix propose : Exiger l'authentification en premier, puis verifier les scopes conditionnellement.

5. API /api/fetch

F-01 [CRITIQUE] (= S-03) Requetes non authentifiees acceptees

Voir S-03 ci-dessus.

F-02 [HAUTE] (= B-02) Scope FETCH vs FETCH_READ jamais differencie

Voir B-02 ci-dessus.

6. API /api/ssh/execute

SSH-01 [HAUTE] (= S-04) Injection dans setupAutoKey

Voir S-04 ci-dessus.

SSH-02 [HAUTE] (= S-05) Heredoc non securise dans upload

Voir S-05 ci-dessus.

7. SUPABASE

DB-01 [CRITIQUE] (= B-01) wireguard.ts utilise une API Supabase inexistante

Voir B-01 ci-dessus.

DB-02 [BASSE] Audit search charge 1000 lignes et filtre en memoire

Fichier : src/services/audit.ts (lignes de la fonction search)
Description : La fonction search() charge jusqu'a 1000 lignes d'audit_logs puis filtre en JavaScript (data.filter(...)). Avec le temps, le volume d'audit logs augmentera.
Impact : Performance degradee et resultats incomplets (les filtres s'appliquent sur les 1000 premieres lignes seulement, pas sur la totalite).
Fix propose : Passer les filtres directement dans la requete PostgREST via les parametres eq, gte, lte, ilike.

8. WEBSOCKET

WS-01 [BASSE] Sessions SSH WebSocket sans timeout d'inactivite

Fichier : src/index.ts (section WebSocket SSH shell)
Description : Les sessions SSH interactives via WebSocket n'ont pas de timeout d'inactivite. Un client qui ouvre une connexion WebSocket SSH et ne la ferme jamais maintient le tunnel SSH ouvert indefiniment.
Impact : Fuite de ressources (connexions SSH zombie). Chaque session maintient un Client ssh2 et un stream shell.
Fix propose : Ajouter un timer d'inactivite (ex: 30 min sans message) qui ferme automatiquement la session.

WS-02 [BASSE] Pas de limite du nombre de sessions WebSocket par utilisateur

Fichier : src/index.ts (section WebSocket SSH shell, sshSessions Map)
Description : Aucune verification du nombre de sessions SSH WebSocket ouvertes par utilisateur. Un utilisateur peut ouvrir un nombre illimite de shells.
Impact : Epuisement des ressources serveur.
Fix propose : Limiter a N sessions par utilisateur (ex: 5). Refuser les nouvelles connexions au-dela.

9. CONNECTORS REGISTRY

R-01 [BASSE] auth.ts setToken ne verifie pas la propriete du connecteur

Fichier : src/services/auth.ts lignes 92-106
Description : La fonction setToken() accepte un connector et un userId optionnel. Quand userId est absent (token systeme), n'importe qui avec acces a l'endpoint (cf. S-02) peut ecraser le token.
Impact : Ceci est lie a S-02 (endpoint sans auth). Si S-02 est corrige, ce point est mitige.
Fix propose : Verifier que l'utilisateur est admin avant d'autoriser les tokens systeme.

10. CODE MORT / QUALITE

D-01 [BASSE] console.log de debug laisses en production

Fichier : src/services/intentDetector.ts lignes 118, et plusieurs autres dans le meme fichier
Description : console.log('[INTENT] normalized:', JSON.stringify(normalized)); et d'autres logs de debug sont laisses dans le code de production.
Impact : Pollution des logs Loki/Grafana. Les logs structures JSON sont melanges avec du debug verbose.
Fix propose : Supprimer ou conditionner derriere process.env.DEBUG.

D-02 [BASSE] Dead code dans actions.ts (query + params)

Fichier : src/services/actions.ts lignes 191-214
Description : (= B-07) Variables query et params construites mais jamais utilisees.
Fix propose : Supprimer les lignes 191-214 ou implementer la logique OR.

D-03 [BASSE] Duplication de la logique de chiffrement dans 3 fichiers

Fichier : src/services/ssh.ts, src/services/wireguard.ts, src/services/vpn-profiles.ts
Description : Les fonctions encrypt() et decrypt() sont copiees-collees identiquement dans 3 fichiers. Meme cle, meme salt, meme algorithme.
Fix propose : Extraire dans src/utils/encryption.ts avec un export unique.

D-04 [BASSE] AuditAction type n'inclut pas tous les actions utilisees

Fichier : src/services/audit.ts lignes 14-47 vs usages dans index.ts
Description : Le type AuditAction ne liste pas 'vpn.generate_keys', 'vpn.configure', 'vpn.connect', 'vpn.disconnect', 'vpn.delete_config', 'ssh.create_instance', 'ssh.shell_input', 'routine.execute.webhook', 'endpoint.create'. Le type accepte AuditAction | string (ligne 67) donc pas d'erreur TypeScript, mais le typage perd sa valeur.
Impact : Pas de validation TypeScript sur les noms d'actions d'audit.
Fix propose : Ajouter toutes les actions utilisees au type union AuditAction.

MATRICE DE PRIORITE

A corriger IMMEDIATEMENT

S-01 : Verification signature JWT (usurpation d'identite)
S-02 : Auth sur POST /api/connectors/:id/token
S-03 : Auth obligatoire sur /api/fetch
B-01 : Reecrire wireguard.ts avec le bon wrapper Supabase
S-06 : Erreur fatale si SSH_ENCRYPTION_KEY absent

A corriger RAPIDEMENT (< 1 semaine)

S-04 : Injection commande setupAutoKey
S-05 : Heredoc upload securise
S-07 : Salt aleatoire pour scrypt
S-08 : Sandbox pour transform actions
S-09 : Signer le state OAuth
B-02 : Ternaire scope FETCH_READ
B-03 : Shadowing variable auth
B-04 : Noms de champs audit.log
S-11 : Filtrer tunnels par user

A planifier (< 1 mois)

15-34. Tous les MOYENNE et BASSE

NOTE

Cet audit est en LECTURE SEULE. Aucun fichier n'a ete modifie. Les numeros de ligne peuvent evoluer si des modifications sont faites entre-temps. Chaque probleme a ete verifie directement dans le code source.