security-review

"Assume the user is the attacker. Find where trust is misplaced."

| HIGH | Auth, crypto, external calls, value transfer, validation removal | | MEDIUM | Business logic, state changes, new public APIs | | LOW | Comments, tests, UI, logging |

| IDOR | User-controlled IDs without ownership check | | Mass Assignment | Binding request body directly to models | | SSRF | User-controlled URLs in server requests | | Path Traversal | User input in file paths without sanitization | | Race Condition | Check-then-use without locking | | Insecure Deserialization | Deserializing untrusted data |

Da utilizzare durante la revisione delle PR per la sicurezza, il controllo delle modifiche al codice o l'analisi di potenziali vulnerabilità. Revisione del codice incentrata sulla sicurezza con mappatura delle superfici di attacco e classificazione dei rischi. Si attiva su: "revisione della sicurezza", "utilizza la modalità di sicurezza", "controlla questo", "verifica le vulnerabilità", "è sicuro", "superficie di attacco", "modello di minaccia", "controllo di sicurezza". Modalità di sola lettura: identifica i problemi ma non li risolve. Fonte: mcouthon/agents.