NutriFlow API — Semgrep Security Audit Report

Critical

AWS Secret Access Key hardcodeada en archivo de configuración

📄 app/core/config.py · línea 47 · p/secrets · AWS_SECRET_ACCESS_KEY_pattern

Una clave secreta de AWS IAM está hardcodeada directamente en el código fuente. Cualquiera con acceso al repositorio puede comprometer la cuenta AWS completa, incluyendo los datos de pacientes almacenados en S3 y las bases de datos RDS.

class Settings(BaseSettings):

    DATABASE_URL: str = "postgresql://admin:pass@localhost/nutriflow"

    AWS_REGION: str = "eu-west-1"

    AWS_SECRET_ACCESS_KEY: str = "wJalrXUtnFEMI/K7MDENG/bPxRfiCYEXAMPLEKEY"

    AWS_ACCESS_KEY_ID: str = "AKIAIOSFODNN7EXAMPLE"

    S3_BUCKET_PATIENTS: str = "nutriflow-patient-data-prod"

Fix: Mueve las credenciales a variables de entorno (AWS_SECRET_ACCESS_KEY) y usa pydantic-settings con env_file=".env". Añade .env al .gitignore. Rota las claves inmediatamente en la consola AWS IAM.

CWE-798: Hard-coded Credentials OWASP A07:2021 — Identification Failures Confidence: HIGH p/secrets

Critical

SQL Injection — consulta construida por concatenación de string (taint cross-file)

📄 app/api/nutrition/search.py · línea 83 · trailofbits · python.sqli.taint-sql-injection

Datos controlados por el usuario (food_name del query param HTTP) fluyen sin sanitizar hasta una consulta SQL construida por concatenación. Detectado con análisis cross-file de Semgrep Pro: el input entra en routes.py:31 y se usa en search.py:83. Permite exfiltración completa de la base de datos de pacientes.

# app/api/nutrition/routes.py:31 — FUENTE (input HTTP)

async def search_food(food_name: str = Query(...)):  # ← user-controlled

    return await FoodService.search(food_name)

# app/api/nutrition/search.py:83 — SUMIDERO (SQL injection)

async def search(query: str):

    sql = f"SELECT * FROM foods WHERE name LIKE '%{query}%'"

    result = await db.execute(text(sql))

Fix: Usa parámetros vinculados: db.execute(text("SELECT * FROM foods WHERE name LIKE :q"), {"q": f"%{query}%"}). Nunca interpoles input de usuario en cadenas SQL.

CWE-89: SQL Injection OWASP A03:2021 — Injection Confidence: HIGH · Cross-file (Pro) trailofbits

Critical

JWT firmado con SECRET_KEY de valor fijo "change-me-in-production"

📄 app/core/security.py · línea 12 · p/security-audit · weak-jwt-secret

El secreto JWT usado para firmar todos los tokens de autenticación es un valor por defecto trivial. Un atacante puede falsificar tokens válidos para cualquier usuario, incluyendo administradores clínicos con acceso a datos de pacientes.

from app.core.config import settings

SECRET_KEY = os.environ.get("SECRET_KEY", "change-me-in-production")

ALGORITHM = "HS256"

ACCESS_TOKEN_EXPIRE_MINUTES = 43200  # 30 días — también problemático

Fix: Elimina el fallback. Usa SECRET_KEY = os.environ["SECRET_KEY"] (falla al arrancar si no está definida) y genera un secreto de 256 bits: openssl rand -hex 32. Reduce el TTL a 15-60 minutos.

CWE-1391: Weak Authentication OWASP A07:2021 — Auth Failures Confidence: HIGH p/security-audit

High

SSRF — URL controlada por usuario pasada directamente a httpx.get()

📄 app/services/nutrition_data.py · línea 156 · elttam · python.ssrf.requests-ssrf

El endpoint de importación de recetas acepta una URL de fuente de datos nutricionales proporcionada por el usuario y la usa directamente para una petición HTTP. Permite a un atacante escanear la red interna AWS, acceder al metadata service (169.254.169.254) y potencialmente comprometer otros servicios internos.

async def import_from_url(source_url: str):  # ← user input

    # TODO: validar URL antes de producción

    async with httpx.AsyncClient() as client:

        response = await client.get(source_url, timeout=30)

Fix: Valida la URL contra una allowlist de dominios externos permitidos. Usa ipaddress para bloquear rangos privados (10.x, 172.16.x, 192.168.x, 169.254.x). Considera un proxy dedicado para peticiones externas.

CWE-918: SSRF OWASP A10:2021 — SSRF Confidence: HIGH elttam

High

Terraform — S3 bucket de datos clínicos sin cifrado en reposo

📄 infra/storage/s3.tf · línea 8 · p/terraform · aws-s3-no-server-side-encryption

El bucket S3 que almacena datos nutricionales y documentos de pacientes (RGPD - datos de salud) no tiene cifrado SSE-KMS configurado. Incumple el Reglamento General de Protección de Datos (Art. 32) y puede acarrear multas de hasta 20M€ o 4% del volumen global de negocio.

  resource "aws_s3_bucket" "patient_data" {

    bucket = "nutriflow-patient-data-prod"

    # acl = "private"  — deprecated, sin Block Public Access config

  }

  # ← FALTA aws_s3_bucket_server_side_encryption_configuration

  # ← FALTA aws_s3_bucket_public_access_block

Fix: Añade aws_s3_bucket_server_side_encryption_configuration con SSE-KMS y una CMK dedicada. Añade también aws_s3_bucket_public_access_block con todos los flags a true.

CWE-311: Missing Encryption OWASP A02:2021 — Cryptographic Failures Confidence: HIGH RGPD Art.32 p/terraform

High

Dockerfile — imagen base FROM python:3.11 sin versión pinned + RUN as root

📄 docker/api/Dockerfile · línea 1, 24 · p/dockerfile · avoid-latest-tag · run-as-root

El Dockerfile usa python:3.11 sin digest pinned (cualquier actualización puede introducir vulnerabilidades silenciosamente) y ejecuta la aplicación como root (USER no está definido). Un RCE en la app daría control root sobre el contenedor.

  FROM python:3.11  # sin digest SHA256 ni tag inmutable

  WORKDIR /app

  COPY requirements.txt .

  RUN pip install -r requirements.txt

  CMD ["uvicorn", "app.main:app", "--host", "0.0.0.0"]  # ejecuta como root

Fix: Usa FROM python:3.11.9-slim@sha256:... con digest pinned. Añade antes del CMD: RUN useradd -m appuser && USER appuser.

CWE-250: Excessive Privilege OWASP A06:2021 — Vulnerable Components Confidence: MEDIUM p/dockerfile

Medium

MD5 usado para hash de passwords de usuarios clínicos

📄 app/models/user.py · línea 67 · p/security-audit · hashlib-insecure-hash-function

Las contraseñas se almacenan como MD5 sin salt, un algoritmo roto desde 1996. Una brecha de base de datos expondría todas las contraseñas en minutos mediante tablas rainbow. Los usuarios son dietistas con acceso a datos médicos de pacientes.

  def set_password(self, raw_password: str):

    import hashlib

    self.password_hash = hashlib.md5(raw_password.encode()).hexdigest()

Fix: Usa passlib[bcrypt] con factor de coste 12: pwd_context = CryptContext(schemes=["bcrypt"], deprecated="auto").

CWE-327: Broken Crypto Algorithm OWASP A02:2021 — Cryptographic Failures Confidence: HIGH p/security-audit

Prioridad	Acción	Impacto	Esfuerzo
1	Rotar credenciales AWS y moverlas a Secrets Manager / env vars	Compromiso total de cuenta AWS + datos pacientes	30 min
2	Reemplazar consultas SQL dinámicas por parámetros vinculados	Exfiltración completa de base de datos	2-4 h
3	Hardcode SECRET_KEY — eliminar fallback inseguro en JWT	Falsificación de tokens de admin / acceso no autorizado	15 min
4	Añadir validación de URL y allowlist para import_from_url (SSRF)	Acceso a metadata AWS + red interna	1-2 h
5	Cifrar bucket S3 con SSE-KMS (RGPD Art.32)	Incumplimiento RGPD · multa hasta 20M€	2-3 h
6	Migrar hashing de passwords de MD5 a bcrypt (coste 12)	Exposición de passwords en brecha de datos	3-4 h
7	Pinnear imágenes Docker con digest SHA256 + usuario no-root	Escalada de privilegios en contenedor comprometido	1 h