security: server.py Restbefund aus Review (t) – registration-status antwortet generisch statt str(e)

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>
2026-07-04 19:21:19 +02:00
parent 326cc598c7
commit d3e75c36a1
2 changed files with 60 additions and 0 deletions
@@ -87,6 +87,10 @@ Punkte abhaken (`[x]`), wenn erledigt UND in `PROGRESS.md` protokolliert.
      ADMIN_LOCK gelesen (hängender Body-Read konnte den Lock 30 s festhalten),
      und die öffentlichen Routen antworten bei internen Fehlern generisch statt
      mit Exception-Text (Info-Leak); Details ins Journal. Headless verifiziert.
+      Zusatz (Fable-5-Review (t), 2026-07-04): auch der öffentliche GET-Leser
+      `registration-status` antwortet bei internen Fehlern jetzt generisch
+      statt mit `str(e)` (hätte den `conduit.toml`-Pfad geleakt); headless
+      verifiziert inkl. 500-Beweis.
 - [x] **LiveKit-Token-Route server-seitig gebaut + verifiziert** (Fable-5-Review (n),
      PROGRESS.md 2026-07-04). `POST /api/livekit-token` läuft live in `server.py`
      (whoami-Auth, stdlib-HS256-Minting aus `livekit.yaml`), headless geprüft