نقاط الضعف

1المكتبات المعرّضة للثغرات

تُغطّى مشاريع Odoo بقائمة الوحدات التي ترسلها وحدة Blipit أصلًا: إصدار لم يعد يتلقى إصلاحات أمنية، ووحدات قياسية ما زالت على إصدار أقدم. للتطبيقات الأخرى، أرسل قائمة الحزم عبر PUT https://in.blipit.io/api/v1/sdk/packages، مع الترويسة X-Blipit-Key بالمفتاح السري، والجسم {"packages":[{"ecosystem":"npm","name":"lodash","version":"4.17.15"}]} (المنظومات npm, PyPI, RubyGems, Packagist, Go, NuGet, Maven, Pub, crates.io, Hex, SwiftURL؛ بحد أقصى 3,000). كل رفع يستبدل القائمة السابقة. يفحص Blipit كل إصدار مقابل قاعدة بيانات OSV خلال دقائق ثم كل يوم، ويعرض التحذير الأمني وخطورته والإصدار الذي يصلحه.

2فحوصات الانكشاف

مرة يوميًا يفحص Blipit كل نطاق تراقبه في وقت التشغيل (أدوات مراقبة HTTP وSSL والنطاقات، حتى 20 لكل مساحة عمل): انتهاء صلاحية شهادة TLS (تحذير قبل أقل من 14 يومًا) وما إذا كان TLS 1.0 أو 1.1 لا يزال مقبولًا، وتقييمًا لست ترويسات أمان (HSTS, Content-Security-Policy، والحماية من التأطير، X-Content-Type-Options, Referrer-Policy, Permissions-Policy)، وما إذا كان يمكن تنزيل /.env, /.git/HEAD, /.DS_Store, /server-status, /phpinfo.php أو /wp-config.php.bak (استجابة 200 يطابق محتواها الملف، وليس أي صفحة)، ومفاتيح API السرية في حزم JavaScript الخاصة بالصفحة الرئيسية، وSPF وDMARC على النطاق الرئيسي. تستخدم الطلبات GET ومهلات قصيرة وفاصلًا بينها، وتعرّف نفسها باسم Blipit-SecurityCheck، ولا تتبع أبدًا إعادة توجيه إلى مضيف آخر ولا تصل أبدًا إلى عناوين خاصة.

3الدرجة وما يُصلح أولًا

يبدأ كل مشروع من 100. تخصم الثغرات المفتوحة 25 (حرجة) أو 15 (عالية) أو 5 (متوسطة أو غير مصنّفة) أو 2 (منخفضة)، بحد أقصى 60 إجمالًا. تخصم الفحوصات الفاشلة حتى 30 لكل منها (ملف .env أو .git أو نسخة احتياطية للإعدادات متاحة للعامة، أو مفتاح مسرّب) والتحذيرات أقل. تخصم تنبيهات الأمان المفتوحة في آخر 7 أيام 3 لكل منها، بحد أقصى 15. تعرض قائمة «أصلح أولًا» العناصر الخمسة الأعلى كلفة. يُحتسب النطاق لمشروع عندما يكون مضيف مثيل Odoo الخاص به، أو عندما تحتوي مساحة العمل على مشروع واحد.

4التنبيهات والبريد الأسبوعي

تؤدي ثغرة جديدة عالية أو حرجة، أو ملف مكشوف حديثًا، أو مفتاح مسرّب إلى تنبيه أمان عبر قنوات التنبيه لديك، مرة واحدة. يمكن لمالكي مساحة العمل أيضًا تلقي بريد أمان أسبوعي يتضمن الدرجة وقائمة «أصلح أولًا»؛ أوقفه من الإعدادات.

من المفيد معرفته

• لماذا النطاقات المراقبة فقط: إضافة نطاق إلى وقت التشغيل هي الطريقة التي تُثبت بها مساحة العمل أنه ملكها. لا يفحص Blipit أبدًا نطاقًا لا يراقبه أحد في مساحة العمل.
• تُعرض المفاتيح المسرّبة مقنّعة؛ لا يخزّن Blipit المفتاح الكامل أبدًا.
• لا يدرج OSV التحذيرات الأمنية الخاصة بنواة Odoo، لذا تُقيَّم نواة Odoo حسب حالة الدعم الخاصة بها.