Github code: https://github.com/bicalordman/klempcinema
Analyza kódu GitHUB s ChatGPT včetně části zajišťující přihlášení k Webshare: Aktuálně je v repozitáři verze 0.0.171.
Nenašel v aktuální verzi důkaz, že by doplněk odesílal tvoje Webshare heslo autorovi nebo na nějaký cizí server.
Vestavěné Webshare přihlašovací údaje byly podle zdrojového kódu odstraněny už ve verzi 0.0.72. BUILTIN_WS_USER a BUILTIN_WS_PASS jsou nyní prázdné.
Doplněk čte ws_user a ws_pass přímo z lokálního Kodi nastavení.
Heslo se před odesláním na Webshare převádí na hash sha1(md5_crypt(...)); do /api/login/ tedy nejde prosté heslo.
Komunikace s Webshare probíhá přes webshare.cz/api.
Po přihlášení si doplněk uloží Webshare token (ws_token) do Kodi nastavení a používá ho pro další požadavky.
V logování nenašel místo, kde by se logovalo samotné heslo. Loguje se například uživatelské jméno a HTTP URL/statusy.
V hlavním Webshare modulu nenašel použití subprocess, socket ani os.system, tedy nic, co by samo o sobě naznačovalo nějaký skrytý systémový mechanismus pro odcizení údajů.
Nastavení ws_pass je označeno jako hidden; ws_token je navíc pro uživatele skryté.
Bezpečnostní problém má samo Kodi. Pokud má někdo přístup k zařízení/Kodi profilu a dokáže přečíst jeho userdata, může být možné heslo nebo token získat.
Navíc ws_token je podle kódu trvale ukládán do settings a následně používán jako autentizační.
Přihlašovací request míří přímo na: webshare.cz/api/login/
a žádný další server není do tohoto procesu vložen.
Analyza kódu GitHUB s ChatGPT včetně části zajišťující přihlášení k Webshare: Aktuálně je v repozitáři verze 0.0.171.
Nenašel v aktuální verzi důkaz, že by doplněk odesílal tvoje Webshare heslo autorovi nebo na nějaký cizí server.
Vestavěné Webshare přihlašovací údaje byly podle zdrojového kódu odstraněny už ve verzi 0.0.72. BUILTIN_WS_USER a BUILTIN_WS_PASS jsou nyní prázdné.
Doplněk čte ws_user a ws_pass přímo z lokálního Kodi nastavení.
Heslo se před odesláním na Webshare převádí na hash sha1(md5_crypt(...)); do /api/login/ tedy nejde prosté heslo.
Komunikace s Webshare probíhá přes webshare.cz/api.
Po přihlášení si doplněk uloží Webshare token (ws_token) do Kodi nastavení a používá ho pro další požadavky.
V logování nenašel místo, kde by se logovalo samotné heslo. Loguje se například uživatelské jméno a HTTP URL/statusy.
V hlavním Webshare modulu nenašel použití subprocess, socket ani os.system, tedy nic, co by samo o sobě naznačovalo nějaký skrytý systémový mechanismus pro odcizení údajů.
Nastavení ws_pass je označeno jako hidden; ws_token je navíc pro uživatele skryté.
Bezpečnostní problém má samo Kodi. Pokud má někdo přístup k zařízení/Kodi profilu a dokáže přečíst jeho userdata, může být možné heslo nebo token získat.
Navíc ws_token je podle kódu trvale ukládán do settings a následně používán jako autentizační.
Přihlašovací request míří přímo na: webshare.cz/api/login/
a žádný další server není do tohoto procesu vložen.
#
Na diskuzi jen fórum, ne SZ.
Na diskuzi jen fórum, ne SZ.