[rondinelisaad]

Contexto

Este PR trata as vulnerabilidades prioritárias identificadas na análise de segurança de setembro de 2026.

A avaliação técnica, classificação de risco e plano de reteste estão documentados em:

docs/security/vulnerability-assessment-2026-09.md

Alterações realizadas

• Bloqueia o acesso público aos modos de debug e diagnóstico.
• Restringe o modo XML de compatibilidade a chamadas locais.
• Remove a exportação arbitrária de parâmetros HTTP para $GLOBALS.
• Migra pontos afetados para o uso explícito das superglobais PHP.
• Corrige SSRF baseado no cabeçalho Host em:
  • export.php
  • rss.php
  • Clinical Trials
  • Projeto FAPESP
• Remove o parâmetro caller como destino de chamadas internas.
• Valida o host interno configurado em SERVER_SCIELO.
• Adiciona timeout e desabilita redirecionamentos nas chamadas HTTP afetadas.
• Adiciona logs estruturados de auditoria, sem registrar payloads, credenciais ou identificadores de sessão em texto puro.
• Adiciona testes de regressão para os controles implementados.

Achados tratados

• 001 — exposição de debug/XSS no fluxo de diagnóstico
• 002 — sobrescrita de variáveis globais por parâmetros HTTP
• 003 — SSRF baseado no cabeçalho Host
• 005 — exposição de informações pelo modo diagnóstico
• A-01 — SSRF por meio do parâmetro caller

Os achados foram mitigados no código e ainda precisam da validação final em homologação.

Validação

• Sintaxe dos arquivos PHP validada no PHP 8.5.
• Testes de regressão aprovados:
  • Security regression tests passed
• Testes HTTP dos endpoints corrigidos aprovados.
• git diff --check aprovado.
• Nenhum segredo ou credencial encontrado nas alterações.
• .env permanece ignorado pelo Git.

Limitações conhecidas

Os endpoints articleRequestGraphicPage.php e sendMail.php ainda encontram uma incompatibilidade preexistente da biblioteca DOMIT com PHP 8.5. O destino controlado pelo usuário foi removido, mas o reteste funcional completo desses fluxos depende da atualização ou substituição dessa biblioteca.

A verificação integral da instância também depende da disponibilidade dos binários CISIS no ambiente de homologação.

Fora do escopo

Permanecem para uma próxima etapa:

• Correções de XSS contextual.
• Restrição de CGI/WXIS.
• Bloqueio de arquivos auxiliares publicados.
• Remoção de mimetex.cgi.
• Proteção antiabuso do envio de e-mail.
• Atualização de componentes legados e endurecimento da CSP.