pm
c63239e7ee
DevSecOps Enterprise Pipeline / security-gate-and-deploy (pull_request) Failing after 59s
103 lines
3.6 KiB
JavaScript
103 lines
3.6 KiB
JavaScript
const express = require('express');
|
|
const cors = require('cors');
|
|
const path = require('node:path');
|
|
const nodemailer = require('nodemailer');
|
|
|
|
const app = express();
|
|
|
|
app.disable('x-powered-by');
|
|
|
|
const PORT = process.env.PORT || 3000;
|
|
|
|
app.use(cors());
|
|
app.use(express.json());
|
|
app.use(express.urlencoded({ extended: true }));
|
|
|
|
// ==========================================
|
|
// ROTA LIMPA (Passa no SonarQube, chumba no ZAP)
|
|
// ==========================================
|
|
|
|
// Modificamos a rota principal temporariamente para o ZAP encontrar o link
|
|
app.get('/', (req, res) => {
|
|
res.send(`
|
|
<html>
|
|
<body>
|
|
<h1>Bem-vindo a Apex Solutions</h1>
|
|
<!-- O ZAP vai encontrar este link, clicar nele e tentar injetar código -->
|
|
<a href="/api/search?q=teste">Pesquisar</a>
|
|
</body>
|
|
</html>
|
|
`);
|
|
});
|
|
|
|
// A rota vulnerável a XSS que o SonarQube ignora (por ser versão gratuita)
|
|
app.get('/api/search', (req, res) => {
|
|
const termo = req.query.q || '';
|
|
// Vulnerabilidade Crítica: XSS Refletido
|
|
res.send(`<html><body><h1>Resultados para: ${termo}</h1></body></html>`);
|
|
});
|
|
|
|
// Serve a pasta frontend
|
|
app.use(express.static(path.join(__dirname, '../frontend'), { extensions: ['html'] }));
|
|
|
|
// Rotas das páginas estáticas
|
|
// app.get('/', (req, res) => res.sendFile(path.join(__dirname, '../frontend/index.html'))); // <-- COMENTADO PARA NÃO DAR CONFLITO
|
|
app.get('/about', (req, res) => res.sendFile(path.join(__dirname, '../frontend/about.html')));
|
|
app.get('/careers', (req, res) => res.sendFile(path.join(__dirname, '../frontend/careers.html')));
|
|
app.get('/contact', (req, res) => res.sendFile(path.join(__dirname, '../frontend/contact.html')));
|
|
|
|
// Configuração do transporte de E-mail (Mocks de teste vs Produção)
|
|
let transporter;
|
|
|
|
if (process.env.NODE_ENV === 'test') {
|
|
transporter = { sendMail: jest.fn().mockResolvedValue({ messageId: 'test-id' }) };
|
|
} else {
|
|
transporter = nodemailer.createTransport({
|
|
host: 'mail.limpezascleanandcare.com',
|
|
port: 465,
|
|
secure: true,
|
|
auth: {
|
|
user: 'teste@limpezascleanandcare.com',
|
|
pass: 'HTC?D=}5&cHoTrH='
|
|
},
|
|
tls: { rejectUnauthorized: false }
|
|
});
|
|
}
|
|
|
|
// Endpoint do Formulário de Contacto
|
|
app.post('/api/contact', async (req, res) => {
|
|
const { firstName, lastName, email, company, message } = req.body;
|
|
|
|
if (!email || !message) {
|
|
res.setHeader('Content-Type', 'text/html');
|
|
return res.status(400).send(`
|
|
<h2>Erro de Validação</h2>
|
|
<p>Os campos Email e Mensagem são obrigatórios.</p>
|
|
<p>Nome recebido: ${firstName}</p>
|
|
`);
|
|
}
|
|
|
|
try {
|
|
const mailOptions = {
|
|
from: '"Apex Solutions" <teste@limpezascleanandcare.com>',
|
|
to: email,
|
|
subject: `Confirmation: We received your request, ${firstName}!`,
|
|
html: `<p>Thank you for reaching out to Apex Solutions.</p>` // Encurtado aqui apenas para não poluir o ecrã, podes manter o teu HTML original!
|
|
};
|
|
|
|
const info = await transporter.sendMail(mailOptions);
|
|
console.log(`[Email Sent] Message ID: ${info.messageId}`);
|
|
res.status(200).json({ success: true, message: 'Thank you! Email dispatched.' });
|
|
} catch (error) {
|
|
console.error(`[Email Error]:`, error);
|
|
res.status(500).json({ error: 'Internal server error.' });
|
|
}
|
|
});
|
|
|
|
module.exports = { app, transporter };
|
|
|
|
if (require.main === module) {
|
|
app.listen(PORT, () => {
|
|
console.log(`[Apex Server] Running on port ${PORT}`);
|
|
});
|
|
} |