Statik site yapılandırma hatası şirket içi belgeleri internete açtı

Statik web barındırma hizmetinde kök dizinin doğrudan yayın klasörü olarak ayarlanması, tminuslabs.space bünyesindeki dahili geliştirici dokümanlarının ve yapılandırma dosyalarının internete sızmasına yol açtı. Rutin bir kontrol sırasında fark edilen olayda, 150 kilobaytlık HANDOFF.md dosyasının kimlik doğrulama olmadan erişilebilir olduğu anlaşıldı. Belge doğrudan API anahtarı içermese de ödeme aşamasını atlayan bir yönetici parametresini, açık içeren veri tabanı şemasını ve dahili tablo isimlerini barındırıyordu.

Sızıntının temelinde, Git deposunun tamamını yayın dizini kabul eden barındırma mimarisi yer aldı. Platformun gizli dosyaları otomatik olarak engellememesi nedeniyle .claude/launch.json gibi düzenleyici yapılandırmaları ve GitHub Actions iş akışları da herkese açık hale geldi. Dosyalar depodan kaldırıldıktan sonra bile statik barındırma platformunun kendi uç önbellek katmanı içeriği 7 günlük saklama süresiyle sunmayı sürdürdü. CDN seviyesinde yapılan temizleme işlemleri bu iç önbellek katmanına ulaşamadığı için sızıntı bir süre daha devam etti.

Sorun, uç ağ seviyesinde tanımlanan güvenlik duvarı kurallarıyla hassas dosya yollarının doğrudan engellenmesi ve veri tabanı şemasındaki yetkisiz alan güncellemesinin sunucu tarafında kapatılmasıyla giderildi. Geliştirici, istemci tarafında zaten kaynak kodda bulunan yönetici değerini döndürmenin tek başına koruma sağlamadığını, asıl çözümün sunucu tarafındaki yetki doğrulamasını düzeltmek olduğunu aktardı.