- Shipped
- 3. September 2026 um 18:35 UTC
- Author
- Kamo
- Commit
- 0b36209
Gefunden durch Sondierung der eingesetzten Endpunkt, nicht durch das Lesen. Rückkehr falsch aus ein HandshakeInterceptor bricht den Handschlag ab, setzt aber nichts auf die Antwort, so jede Ablehnung - kein Ticket, gefälschte Ticket, sätsite Herkunft - ging als bare 200 mit einem leeren Körper. Keine Steckdose wurde jemals hergestellt und nichts wurde verpasst durch, aber von außen war eine Verweigerung vom Erfolg nicht zu unterscheiden, und Alles, was diesen Endpunkt überwacht, hätte das eine als das andere gelesen. Jetzt 401 für ein Ticket, das fehlt, gefälscht, ausgegeben oder abgelaufen ist, und 403 für ein Herkunft, die nicht der Host ist, der angesprochen wird. Der Grund bleibt absichtlich vage: Erzählen eines unbekannten Tickets abgesehen von einem verbrachten ist, wie Sie für welche Sondierung Tokens existierten. Neun Tests über das Tor, darunter die beiden, die am wichtigsten sind - ein Cross-Site Handshake wird verweigert VOR das Ticket geprüft wird, so dass ein gültiges Ticket vorgelegt von einem anderen Ursprung ist nicht ausgegeben und ist immer noch für den eigenen Browser des Mitglieds; und der Kunde kann kein Konto oder eine Sitzung nennen, aber es schmückt die query string, weil beide von der Karte kommen.