Bonjour,
Send backup Samba.../!\ Erreur sur cd /var/www/html/core/php/../../backup;sudo smbclient -t 120
//x.x.x.x/partage -U "ICI LOGIN EN CLAIR%ICI PWD EN CLAIR" -lx.x.x.x -c "cd /chemin;put
backup-Jeedom_Atlas-4.5.3-2026-06-15-01h50.tar.gz" 2>&1 valeur retournée : 1. Détails :
do_connect: Connection to x.x.x.x failed (Error NT_STATUS_HOST_UNREACHABLE) /!\OK
La pass en question est bien sûr stocké quelque part, mais ici, il est bien visible.
Faut pas se faire hacker l’atlas…
Cordialement
Bonsoir,
Il me semble avoir lu ici même, que celà était le comportement normal. Car c’est ainsi que la commande passe ses arguments dans l’os.
Aurel
Août 26, 2026, 6:40
3
Ben disons que le mot de passe il doit bien être stocké quelque part pour que la box puisse se connecter au NAS …
Je suis d’accord que le mot de passe en clair dans le log c’est pas top mais si on se fait réellement hacker la box, c’est pas les logs le plus problématique.
1 « J'aime »
Mips
Août 27, 2026, 10:25
4
Sujet maintes fois répété sur le forum
issue ouverte:
ouvert 09:58AM - 27 Aug 26 UTC
# Summary
When a Samba backup fails (for example, when the remote Samba server i… s unreachable), the cron_execution log displays the full smbclient command, including the username and password in clear text. This results in sensitive credentials being exposed in logs.
# Problem Description
During a failed backup attempt using Samba, Jeedom logs the exact shell command executed by the core.
This command includes:
- The Samba username
- The Samba password
- The full smbclient invocation
Example:
```bash
sudo smbclient -t 120 //x.x.x.x/share -U "LOGIN_IN_CLEAR%PASSWORD_IN_CLEAR" -l x.x.x.x -c "cd /path; put backup-file.tar.gz"
```
When the connection fails (e.g., NT_STATUS_HOST_UNREACHABLE), this full command is logged inside cron_execution, exposing credentials.
# Security Impact
Credentials appear in clear text in Jeedom logs.
This violates basic security practices and may lead to credential leakage if logs are accessed or exfiltrated.
This issue concerns security and privacy. Even if the risk is limited to local access, exposing credentials in logs is not acceptable and should be corrected at the core level.
# Expected Behavior
Sensitive information such as passwords must never appear in logs, even in debug or error contexts.
pr:
develop ← fix/samba-password-exposure
ouvert 10:22AM - 27 Aug 26 UTC
## Description
This pull request addresses a security issue where Samba credent… ials—especially the password—were exposed in clear text in logs (cron_execution) when a Samba backup failed.
### Suggested changelog entry
- Amélioration: n'expose plus le mot de passe samba dans les logs en cas d'erreur
### Related issues/external references
Fixes #3474
## Types of changes
- [X] Bug fix _(non-breaking change which fixes)_
- [ ] New feature _(non-breaking change which adds functionality)_
- [ ] Breaking change _(fix or feature that would cause existing functionality to change)_
- [ ] This change is only breaking for integrators, not for external standards or end-users.
- [ ] Documentation improvement
## PR checklist
- [X] I have checked there is no other PR open for the same change.
- [X] I have read the [[La ligne directrice pour contribuer à ce projet / Contribution guidelines for this project](.github/CONTRIBUTING.md)).
- [X] I grant the project the right to include and distribute the code under the GNU.
- [ ] I have added tests to cover my changes.
- [X] I have verified that the code complies with the projects coding standards.
- [ ] [Required for new sniffs] I have added MD documentation for the sniff.
4 « J'aime »
Mips
Août 27, 2026, 7:09
5
C’est dispo sur la branche develop donc ne pas hésiter à tester et faire un retour
1 « J'aime »
system
Août 28, 2026, 7:10
6
Ce sujet a été automatiquement fermé après 24 heures suivant le dernier commentaire. Aucune réponse n’est permise dorénavant.