- Verschifft
- 17. September 2026 um 04:40 UTC
- Autor
- Kamo
- Ausschuss
- 79215ab
**************** hat das Kunden-Greditgebiets-Geheimnis für vier Produktionskunden-IDs zugewiesen (kamo:1:crm:internal, kamo:4:kamo:internal, kamo:5:ebonix:internal, kamo:6:theshortterm:internal) wie eine Saite buchstäblich, zweimal, also hielt jeder mit dem Depot es. **************** trug das gleiche wörtliche und, ohne Sitzungscheck, bat um api.read client-credentials Token für welche Domain auch immer ein Anrufer POSTed und reichte das Token zurück. Auch hat nichts Nützliches getan: kein Login-Host dient /oauth2/token (login.kamocrm.com antwortet 404 auf GET und POST), nichts in diesem oder irgendeinem anderen Projektarchiv Anrufe get-user-token-from-login, und kamo-interne Protokolle hielten keinen Client- Anmeldeinformationen Versuch in den letzten 24 Stunden. Also: - die Org-Route liest AUTH_CLIENT_SECRET aus der Umgebung, ohne Standard; ohne sie clientCredentialsGemeldete Antworten vermisst_dynamic_credentials und der Fallback wird übersprungen, was das Ergebnis ist, 404 bereits produziert; - get-user-token-from-login wird gelöscht. **************** scannt App/ und lib/ nach einer UPPER_SNAKE *SECRET* Konstante, die einem String literal zugewiesen wird. Es markiert beide Zeilen der vorherigen Route und ignoriert die Label-Schlüsselkarten, die lediglich ein ClientSecret-Feld benennen. Die value bleibt in der git History und in docs/HIPAA_audit_corpus.json's finden; wenn ein System es noch akzeptiert, drehen Sie es.