decryptString miste purpose-param → cPanel-token decryptie returnde null #90

New issue

Closed

opened 2026-05-26 18:23:27 +00:00 by jesse-a · 1 comment

jesse-a commented

2026-05-26 18:23:27 +00:00

Owner

Severity: HIGH

In src/lib/cpanel.ts was decryptString(auth.tokenEncrypted) aangeroepen zonder het verplichte purpose-argument. De HKDF-keyderivation faalde stilzwijgend, decryptString returnde null, en de Authorization: cpanel user:null werd naar cPanel gestuurd → 401 op elke UAPI-call. Alle cPanel-flows waren stuk.

Niet ontdekt bij build omdat typescript.ignoreBuildErrors: true in next.config.ts staat.

Fix: decryptString(auth.tokenEncrypted, 'cpanel-api-token') + null-check met sprekende error.

Files: src/lib/cpanel.ts

**Severity: HIGH** In `src/lib/cpanel.ts` was `decryptString(auth.tokenEncrypted)` aangeroepen zonder het verplichte `purpose`-argument. De HKDF-keyderivation faalde stilzwijgend, `decryptString` returnde `null`, en de `Authorization: cpanel user:null` werd naar cPanel gestuurd → 401 op elke UAPI-call. Alle cPanel-flows waren stuk. Niet ontdekt bij build omdat `typescript.ignoreBuildErrors: true` in next.config.ts staat. **Fix**: `decryptString(auth.tokenEncrypted, 'cpanel-api-token')` + null-check met sprekende error. **Files**: src/lib/cpanel.ts

jesse-a added the

fixed

security

severity-high

labels

2026-05-26 18:23:27 +00:00

jesse-a commented

2026-05-26 18:23:27 +00:00

Author

Owner

Opgelost in commit 77bf537.

Opgelost in commit 77bf537.