WEB-586 · Дефект · — · web
P1 [SEC/аудит B32-02]: страж публичных адресов пропускает развёрнутые записи приватных IPv6 (IPV6-01, SSRF-класс)
Закрыт
P1 · важно
ведёт: —
Суть
<!-- BLOCK32-40-L114S-INTAKE-20260909-WEB-586 -->
## ДЛЯ ТИКЕТА — эволюция WEB-515, 09.09, l114s
Условие: IPV6-01: канонизация эквивалентных IPv6 перед проверкой назначения. Существующий тикет координатора; дубликат не создаётся.
История: B32-02 / 3111; fbb2f0550 + d9f53124e, совместная mapping WEB-585/586 по расписке. Координатор сообщил NO-GO проверки на исходной линии Z; исходный worker report ещё не доставлен в доступный lead inbox. File:line, actual fixture proof и CVSS не выдумывать: AWAITING_REPORT_TRANSFER.
L114S-RELEASE-RECEIPT.md сообщает посадку исправления в l114s 5701c436097e10240a2b8cdd5d87a786b1014def 09.09 18:02Z. Состояние lead: LANDED_COORDINATOR_RECEIPT / INDEPENDENT_PROOF_REVIEW_PENDING. Это не повторное открытие исправленного поведения и не independent closure. Статус workflow и parentId не менялись.
KNOWN ISSUES / ТРАБЛШУТИНГ: исторический tested SHA Z не равен S; до получения отчёта нельзя переносить verdict на текущую линию. Нет разрешения на prod/host operations. Следующий шаг — принять существующий report+artifacts, связать точные proof/commit и записать остаток; не запускать duplicate fix. Связанный эпик WEB-515; intake: ~/audit/outbox/BLOCK32-34-RETURNS-L114S-TRANSFER-AND-DEDUPE-20260909.md.
Лента
2026-09-09T18:23:48.338Z · astra-securityBLOCK32-40-L114S-INTAKE-20260909 — 2026-09-09T18:23:48.338013+00:00 / IST=2026-09-09T23:53:48.338020+05:30
## ДЛЯ ТИКЕТА — эволюция WEB-515, 09.09, l114s
Условие: IPV6-01: канонизация эквивалентных IPv6 перед проверкой назначения. Существующий тикет координатора; дубликат не создаётся.
История: B32-02 / 3111; fbb2f0550 + d9f53124e, совместная mapping WEB-585/586 по расписке. Координатор сообщил NO-GO проверки на исходной линии Z; исходный worker report ещё не доставлен в доступный lead inbox. File:line, actual fixture proof и CVSS не выдумывать: AWAITING_REPORT_TRANSFER.
L114S-RELEASE-RECEIPT.md сообщает посадку исправления в l114s 5701c436097e10240a2b8cdd5d87a786b1014def 09.09 18:02Z. Состояние lead: LANDED_COORDINATOR_RECEIPT / INDEPENDENT_PROOF_REVIEW_PENDING. Это не повторное открытие исправленного поведения и не independent closure. Статус workflow и parentId не менялись.
KNOWN ISSUES / ТРАБЛШУТИНГ: исторический tested SHA Z не равен S; до получения отчёта нельзя переносить verdict на текущую линию. Нет разрешения на prod/host operations. Следующий шаг — принять существующий report+artifacts, связать точные proof/commit и записать остаток; не запускать duplicate fix. Связанный эпик WEB-515; intake: ~/audit/outbox/BLOCK32-34-RETURNS-L114S-TRANSFER-AND-DEDUPE-20260909.md.
2026-09-10T17:11:13.186Z · astra-securityBACKLOG64-TRIAGE-20260910-WEB-586 — 2026-09-10T17:11:13.185757+00:00 / IST=2026-09-10T22:41:13.185765+05:30
## ДЛЯ ТИКЕТА — доставка старых отчётов и backlog64
R18: настоящая находка. Z actual redirects credentials и IPv6 normalization; existing fixes reported landedS.
/Users/poolpooly/audit/inbox/3111-B32-02-REPORT.md
SHA256 19930bc21a6f76cb403dc8d1aec81740c2ec16b7d687e4963fec717aa20bc7e3
Статус workflow не менялся. Историческая база не переписана наl115a; duplicateSEC/повторныйfixне создан. Current app по координатору: **l115a `8d598d69a663cfa8977816d96bb20303e9a9650c`**; migration set `b3d4e83d37d07ffcffa4ba027c8f5381c8f471fa39776bc1207643e5a17267f0`,198миграций. Это не замена tested SHA в отчётах. Native gateway изменён10.09 16:02Z правкой WEB-597 (`stasisSnoopIngressSpike.js`, `bargeInPlayback.js`) поверх живого снимка; полное равенство репозиторию не заявлено. Правила installed-vs-repo остаютсяWEB-595. Самостоятельных prod/host действий lead не выполнял.
Воркер
не привязан — привязать:
curl -X POST https://bugs.wool2.online/api/web/assign -H 'content-type: application/json' \
-d '{"issueId":"WEB-586","session":"<имя tmux-сессии>","host":"m4"}'
Обновлён
2026-09-09T20:55:11.137Z