- Verschifft
- 6. September 2026 um 22:32 UTC
- Autor
- Kamo
- Ausschuss
- ea6d631
Der Telefon-Server eingehender Pfad in der vorherigen Commit überprüft hinzugefügt welcher Anbieter auch immer die Nummer trug. Das ist eine Fälschungsfläche, und nicht hypothetisch: ************ ist "Return true", und RingCentral's ist "Return true; // TODO". Der Endpunkt ist nicht authentifiziert durch Bau - ein Träger hält keinen Zugang, sondern seine eigene Unterschrift - so eine Zahl geroutet an einem dieser Telefon-Server hätte jeder, der wusste, dass Nummer POST inbound Nachrichten in die Threads der Organisation. Einschließlich STOP, die den Mieter stoppen würde, einen Kunden zu verschicken, der nie darum gebeten hat, allein gelassen zu werden. Die Schnecke in der URL sagt, welche Träger gebucht. Nur ein Telefon-Server von der gleichen Unternehmen kann es überprüfen; alles andere wird abgelehnt, bevor seine Unterschrift Überprüfung ist Befragt überhaupt. Passend auf den enum Namen statt einem hartkodierten TELNYX, so dass die nächster Anbieter, der sowohl ein Telefon-Server und ein Träger arbeitet ohne vortäuschen Jede andere Paarung wurde in Betracht gezogen. Der Test wurde untersucht, wie die Wachen dieses Repository sein sollen: die Kontrolle wurde absichtlich deaktiviert und der Test benannte ihn.