Skip to content

[RETIRED via #1314] Numeric dashboard rendering hardening - #1402

Closed
seonghobae wants to merge 2 commits into
developfrom
sentinel/fix-dom-xss-numeric-properties-1259442226946505098
Closed

seonghobae wants to merge 2 commits into
developfrom
sentinel/fix-dom-xss-numeric-properties-1259442226946505098

Conversation

@seonghobae

@seonghobae seonghobae commented Oct 6, 2026 •

Copy link
Copy Markdown
Contributor

상태: RETIRED — #1314로 검증된 완전 승계

이 PR은 단순 폐기가 아니라 유효 요구사항을 successor로 완전히 승계한 뒤 source-neutral 커밋으로 퇴역했습니다.

승계 범위

#1314의 safeCount는 이 PR의 Number(value)||0보다 엄격하게 음수·소수·Infinity·NaN·비숫자 값을 거부하고, identifier 이스케이프와 실제 Node 렌더링 회귀 테스트를 포함합니다. #1260은 severity map-key 방어를 제공합니다. 통합 트리 전체 테스트는 1095 passed입니다.

따라서 이 PR의 유효 보안 delta는 successor에 완전하게 보존됐습니다. 원래 head는 퇴역 커밋의 첫 부모로 보존되어 감사 가능합니다.

@google-labs-jules

Copy link
Copy Markdown

👋 Jules, reporting for duty! I'm here to lend a hand with this pull request.

When you start a review, I'll add a 👀 emoji to each comment to let you know I've read it. I'll focus on feedback directed at me and will do my best to stay out of conversations between you and other bots or reviewers to keep the noise down.

I'll push a commit with your requested changes shortly after. Please note there might be a delay between these steps, but rest assured I'm on the job!

For more direct control, you can switch me to Reactive Mode. When this mode is on, I will only act on comments where you specifically mention me with @jules. You can find this option in the Pull Request section of your global Jules UI settings. You can always switch back!

New to Jules? Learn more at jules.google/docs.


For security, I will only act on instructions from the user who triggered this task.

@coderabbitai

coderabbitai Bot commented Oct 6, 2026 •

Copy link
Copy Markdown

Review in Change Stack →

Important

Draft PR not reviewed

Draft PRs are not automatically reviewed by default.

  • Trigger a manual review

To automatically review draft PRs, update your CodeRabbit configuration:

reviews:
  auto_review:
    drafts: true

No actionable comments were generated in the recent review. 🎉

ℹ️ Recent review info
⚙️ Run configuration
  • Configuration used: Organization UI
  • Review profile: CHILL
  • Plan: Advanced
  • Run ID: 242c152c-eacd-4a5b-ad5c-84c426defc48
📥 Commits

Reviewing files that changed from the base of the PR and between 2949d30 and 854f5a1.

📒 Files selected for processing (1)
  • scanner/dashboard/console.html

Included review availability: This review used your included allowance. Your plan provides up to 1 included review per hour; 0 remain after this review.


📝 Walkthrough

Walkthrough

대시보드 통계와 스캔 기록의 값은 숫자로 변환하며, 값이 없거나 변환 결과가 falsy이면 0을 표시합니다. finding 심각도는 색상 조회 전에 대문자로 변환합니다.

Changes

대시보드 표시 처리

Layer / File(s) Summary
대시보드 값 변환과 심각도 색상
scanner/dashboard/console.html
통계와 스캔 기록 값에 숫자 변환과 0 대체 처리를 적용합니다. finding 심각도를 대문자로 변환해 색상을 조회하며, 일치하는 값이 없으면 기존 info 색상을 사용합니다.

Priority: ➖ Normal

Estimated code review effort: 2 (Simple) | ~8 minutes

Change: Bug fix

Merge Risk: ⚪ Minimal · up to 854f5

The inspected dashboard data path presents no identified material failure in the changed displays, so no actionable merge-blocking risk remains.

🚥 Pre-merge checks | ✅ 5
✅ Passed checks (5 passed)
Check name Status Explanation
Description Check ✅ Passed Check skipped - CodeRabbit’s high-level summary is enabled.
Title check ✅ Passed 제목은 대시보드의 숫자 속성 처리와 DOM XSS 완화라는 주요 변경 목적을 구체적으로 설명합니다.
Docstring Coverage ✅ Passed No functions found in the changed files to evaluate docstring coverage. Skipping docstring coverage check. Docstring coverage is scoped to functions touched by this diff. Analyzed 0 functions across 0…
Linked Issues check ✅ Passed Check skipped because no linked issues were found for this pull request.
Out of Scope Changes check ✅ Passed Check skipped because no linked issues were found for this pull request.
✨ Finishing Touches 💡 1
🛠️ Fix failing CI checks 💡
  • Commit to this branch
  • Create a new PR
🧪 Generate unit tests (beta)
  • Commit to this branch
  • Create a new PR
  • Autopilot · Keep fixing CodeRabbit findings and required CI, and resolving merge conflicts

Thanks for using CodeRabbit! It's free for OSS, and your support helps us grow. If you like it, consider giving us a shout-out.

❤️ Share

Comment @coderabbitai help to get the list of available commands.

Copy link
Copy Markdown
Contributor Author

퇴역 근거(보호 브랜치와 동일한 0-diff로 검증 예정):

  • 정식 successor는 fix(console): bound scalar rendering and scan identifiers #1314 exact head a7c934a3f9ca5896b73ad408385e061b4d4e1a5f입니다.
  • 해당 head는 safeCount로 음수·소수·Infinity·NaN·비숫자 값을 거부하고, identifier를 이스케이프하며, 실제 Node 렌더링 회귀 테스트를 포함합니다. 이 PR의 Number(value)||0보다 경계가 엄격합니다.
  • fix(dashboard): reject inherited map properties #1260 exact head 146cc63da545ee9e8b410edc91a9958205760e13도 같은 트리에 병합되어 severity map-key 방어까지 제공합니다.
  • 로컬 통합 트리에서 전체 1095 passed를 확인했습니다.
  • 따라서 이 PR의 유효 요구사항은 successor에 완전하게 포함됩니다.

이제 원래 head를 첫 부모로, 보호 브랜치 develop@2949d30718752ea5915c7713ba227e8c19d9e5bf를 둘째 부모로 하는 source-neutral 퇴역 커밋을 만들고, 보호 브랜치 대비 변경 파일 0개를 확인한 뒤에만 닫습니다.

@seonghobae
seonghobae marked this pull request as draft October 7, 2026 05:01
@seonghobae seonghobae changed the title 🛡️ Sentinel: [HIGH] Fix DOM XSS via unescaped numeric properties in dashboard [RETIRED via #1314] Numeric dashboard rendering hardening Oct 7, 2026
@seonghobae seonghobae closed this Oct 7, 2026
@google-labs-jules

Copy link
Copy Markdown

퇴역 근거(보호 브랜치와 동일한 0-diff로 검증 예정):

  • 정식 successor는 fix(console): bound scalar rendering and scan identifiers #1314 exact head a7c934a3f9ca5896b73ad408385e061b4d4e1a5f입니다.
  • 해당 head는 safeCount로 음수·소수·Infinity·NaN·비숫자 값을 거부하고, identifier를 이스케이프하며, 실제 Node 렌더링 회귀 테스트를 포함합니다. 이 PR의 Number(value)||0보다 경계가 엄격합니다.
  • fix(dashboard): reject inherited map properties #1260 exact head 146cc63da545ee9e8b410edc91a9958205760e13도 같은 트리에 병합되어 severity map-key 방어까지 제공합니다.
  • 로컬 통합 트리에서 전체 1095 passed를 확인했습니다.
  • 따라서 이 PR의 유효 요구사항은 successor에 완전하게 포함됩니다.

이제 원래 head를 첫 부모로, 보호 브랜치 develop@2949d30718752ea5915c7713ba227e8c19d9e5bf를 둘째 부모로 하는 source-neutral 퇴역 커밋을 만들고, 보호 브랜치 대비 변경 파일 0개를 확인한 뒤에만 닫습니다.

Understood. Reverted the diff to 0 (source-neutral to the base branch) for safe closure as the successor PRs (#1314 and #1260) have verified the exact fixes.

Sign up for free to join this conversation on GitHub. Already have an account? Sign in to comment

Labels

None yet

Projects

Status: Done

Development

Successfully merging this pull request may close these issues.

1 participant