تحقّق من رينغ سنترال على الشبكة قبل أن تثق بهم

Shipped

23 سبتمبر 2026 في 3:08 ص UTC

صاحب البلاغ

Kamo

Commit

6f10239

وصلات (رينج سينترال) على الشبكة تم تجهيزها مع عدم تحقق مرصد ويهوك توجه مباشرة إلى أنشطة الاتصال الهاتفي/العرض لا أعرف لا أعرف كان ' ' عودة حقيقية؛ و/أو تادو``، وأنشئت الاشتراكات دون أن يكون هناك أي تحقق على الإطلاق نقطة النهاية عامة أي شخص قام بسرقة حمولة مصنوعة يمكنه حقن نُصّ إلى أيّ org، نُشِر أحداث امتثال (STOP/START)، تُسبّب في ظُهُور قُدُم لرقم تعسفي (مجاور للاحتيال) أو محتواه "من" يظهر إلى العضو - والقرار الذي يعاد ترقيمه )المسمى " ByFromPhoneNumber " ( لم يتح نطاقه قط org، لذلك يمكن تطابق رقم الزبون الحقيقي وإظهاره للمستأجر الخطأ حتى بواسطة حمولة حقيقية فيكس: - يولّد الآن مُنظّم " رينغ سينترال ويبهوك " تحققاً عشوائياً لكل مؤسسة (يُعَدَّ في config json، مُحَرَّد مِنْ البيئاتِ API)، سجلات الاشتراكات "في "مديرية "أورل" "مُلازمة" "أفرقة مُطابقة" كما ************************ حتى يتردد رينغ كانرال عليها كعادتها " Verification-Token ' header on every notification. اشتراك (رينج سينترال) الخاص URL-ownership handshake (the `Validation-Token` header webhookController already إن صدى الظهر غير مصدوم - وهذا رأس مختلف يثبت شيئا مختلفا. الآن تحقق من هذا الرأس الوقت والفشل مغلقان (لم يغلق بعد، ولا رئيس، أو عدم تطابق كل شيء). - ويهوك المراقب المالي يحل القضية من " ؟ Id=', requires the التحقق - التحقق المكسور الذي سيمر به، ثم يقوم فقط بتجهيز الحدث - نطاقه تلك الحالة org. rlm; **** **** حصل كلاهما على البارامترات المتحقق منها تطابق في حرف "ديفيرنت org" من "ويهوك" الذي تم التحقق منه يعامل على أنه غير معروف مثل عدد لا أحد يملك، لا يثق به أبدا. - السلامة في النشر (الحالات الثلاث على الهواء مباشرة يجب ألا تفقد حركة المرور عبر الحدود): كل تمرير من مشرف "رينج سينترال ويبهوك" الآن يطابق الحساب الفعلي قائمة بالاشتراكات - قائمة اشتراكات لما قبل ستة أعضاء )غير مسجلة/مسجلة( إستبدلت بواحد مُحقّق، لذا حَيّة حالات ذاتيّة في غضون ثلاثينات من وتصبح المنصة قائدة (تبدأ بالفعل + كل 12 ساعة). للثغرة من قبل أن الشفاء يكتمل، ويهوك كونترولر لا يزال يقبل حدثا مع أي حال على الإطلاق في ظل القواعد السابقة للتجديد، غير المجدولة - ولكن فقط حتى عام 2026-10-13، وكل استعملوا سجلاً عالياً الخطّ لذا التراجع مرئي و ليس دائماً بعد ذلك التاريخ يفشل في إغلاقه مثل كل شيء آخر تقرير المنسق: لا حاجة إلى اتخاذ أي إجراء في الحالات الثلاث التي يقطن فيها مركز التنسيق الحي - يشفون تلقائياً عند النشر القادم تشغيليا، مشاهدة **************** في سجل خدمة البريد بعد نشره؛ توقف عن الظهور خلال دقائق إذا كان لا يزال يظهر قريبا من 2026-10-13، معرفة لِمَ لم يُشفى اشتراك تلك الحالة (فشل (رينج كونترال جوت توكن سيرفيك يتم تسجيلها بشكل منفصل) قبل التخفيض، أو تمديدها لا أعرف الاختبارات: لا أعرف (أصفار مغلقة بدون تحطم/رأس) مُخطيء، يَقْبلُ المُطابقةَ، رئيس غير مُراعي للحالاتِ، لا أعرف (generates+persists+reuses the token; deletes a ' 6` الاشتراك المسبق وتسجيل بديل متحقق منه؛ ويترك حاليا صحيا الاشتراك وحده، بالإضافة إلى حالات تحديد الأعضاء التي أضيفت إلى شركة VoipCallEventService الاختبار "إختبار كلمة "فويب مسيج All four mutation- checked: reverting the relevant الحراس يُدير الإختبار المُقابل الأحمر، يُعيدُه يُحوّلُه أخضر.