## Problema La scansione di sicurezza ha rilevato **1 vulnerabilità confermate e azionabili** (1 medium) nel repository `opencity-labs/php-caddy-prometheus`. Questa issue le porta nel planning dello sprint, con triage già eseguito. ## Vulnerabilità da risolvere > Legenda triage: _Vulnerabilità reale_ = sfruttabile nel contesto; _Rafforzamento_ = debolezza reale ma non direttamente sfruttabile, fix comunque consigliato. | Severità | Fonte | Posizione | Descrizione | Triage | |----------|-------|-----------|-------------|--------| | MEDIUM | `semgrep/PHPCS_SecurityAudit.BadFunctions.Phpinfos.WarnPhpinfo` | `app.php:3` | Exposure of sensitive system information to an unauthorized control sphere | Vulnerabilità reale — La chiamata a phpinfo() è esposta direttamente in app.php senza alcun controllo di accesso: chiunque raggiunga l'endpoint può leggere configurazione PHP, variabili d'ambiente e percorsi di sistema. | ## Approccio suggerito **Rimozione della chiamata diagnostica non protetta in `app.php`** In `app.php` riga 3 è presente una chiamata a `phpinfo()` raggiungibile senza alcun controllo di accesso. Chiunque possa inviare una richiesta HTTP all'endpoint ottiene la configurazione completa di PHP, le variabili d'ambiente (potenzialmente contenenti credenziali o segreti di runtime) e i percorsi interni del container. Fix richiesto: **intervento di codice** (non è un aggiornamento di dipendenza). La riga va rimossa da `app.php:3`. Se la funzione era stata inserita per debug temporaneo, va eliminata definitivamente. Nel caso in cui esista uno scenario legittimo di diagnostica operativa, l'endpoint va protetto con autenticazione forte e ristretto a reti interne, documentando esplicitamente il motivo nel codice. ## Ambito e vincoli - **In-scope**: aggiornare le dipendenze alle versioni con fix indicate in tabella; per i finding di codice, l'intervento localizzato descritto nell'approccio. - **Out-of-scope**: aggiornamenti _major_ non richiesti, refactoring non correlato, modifiche ad aree non toccate dai finding. - **Non toccare** codice o dipendenze non elencati in questa issue. ## Criteri di accettazione - Il codice sorgente di `app.php` non contiene chiamate a `phpinfo()` prive di un controllo di accesso esplicito e documentato. - Una richiesta HTTP anonima verso l'endpoint principale del microservizio non restituisce un body contenente informazioni di configurazione PHP, variabili d'ambiente o percorsi di sistema (l'output tipico di `phpinfo()` non compare in alcuna risposta pubblica). ## Documentazione Nessuna pagina Gitbook associata a questo repository: `php-caddy-prometheus` e' un'immagine Docker base infrastrutturale (PHP-FPM + Caddy + Prometheus exporter), non un servizio/API con documentazione utente su Gitbook. La modifica e' interna (endpoint di smoke-test `app.php`) e non cambia comportamento esterno documentato (`/health`, `/metrics` restano invariati). ## Test **Comando di verifica:** _non rilevato automaticamente — indicare il comando di test del repository._ ### Fatto (automatizzabile) - [x] `grep -n 'phpinfo' app.php` restituisce zero occorrenze (oppure solo occorrenze protette da una guardia di accesso esplicita verificabile staticamente). - [x] Aggiungere un test di regressione HTTP: una richiesta GET anonima all'endpoint del microservizio deve restituire una risposta che non contiene le stringhe `PHP Version` o `<title>phpinfo()</title>`; il test deve passare nella pipeline CI. - [x] I test automatici esistenti del repository passano (il team deve specificare il comando di test prima di chiudere questa voce). **Ambiente di test:** _da inserire prima della chiusura — link diretto allo staging che punta alla funzionalità toccata dal fix (richiesto da ISSUES.md per le issue chiuse in sprint)._ <details> <summary>Dati per automazione (per un agente — non serve all'umano)</summary> ```json [ { "key": "semgrep:PHPCS_SecurityAudit.BadFunctions.Phpinfos.WarnPhpinfo:app.php:3", "source": "semgrep", "rule_id": "PHPCS_SecurityAudit.BadFunctions.Phpinfos.WarnPhpinfo", "severity": "medium", "package": null, "current_version": null, "fix_version": null, "manifest_paths": [], "pin_style": null, "build_flow": null, "dep_location": null, "transitive": null, "file": "app.php", "line": 3, "classification": "reale" } ] ``` </details> --- _Issue generata automaticamente da _[_security-sprint-agent_](https://gitlab.com/opencity-labs/product/-/blob/main/.gitlab/ci/security_sprint_agent/SECURITY_SPRINT_AGENT.md)_._ <!--security-sprint-agent repo=opencity-labs/php-caddy-prometheus iteration=3825551 findings=fb18b0009898--> <!--ssa-keys semgrep:PHPCS_SecurityAudit.BadFunctions.Phpinfos.WarnPhpinfo:app.php:3--> <!--ssa-candidates rluccisano-->