- Verschifft
- 5. August 2026 um 01:57 UTC
- Autor
- kamo
- Ausschuss
- 7e546ee
Post im Lesebereich öffnet jeden Link in einem neuen Reiter, der für die ganzes Internet und falsch für uns. Unsere Benachrichtigungs-E-Mails sind fast vollständig Links zurück in die App, und das Senden von denen, um eine frische Registerkarte wirft die Sitzung Mitglied hat und macht sie sitzen durch einen kalten Boot, um eine Seite dieser Registerkarte zu erreichen könnte sofort gerendern. Der gleiche Ursprung ist der gesamte Test - äglich mit der Seite, die die E-Mail wiedergibt, nicht "sieht aus wie eine Kamo-Domain" und nicht wie ein Suffix-Match auf der Org-Domäne. Das ist genau die Menge der URLs die aktuelle Sitzung ist gültig, die die gesamte Grund, in diesem Tab zu bleiben, und es ist un-spoofable per Post: ein anderer Mieter Host, ein Doppelgänger, oder userinfo, die den Host woanders zeigen, sind alle unterschiedliche Ursprünge und gehen Sie zu einem neuen Tab wie jeder andere Fremde Link. Routing statt Ortszuweisung: Eine vollständige Dokumentenlast reißt den Reaktor herunter tree und zerstört jedes geöffnete Werkzeugfenster zusammen mit jedem nicht gesendeten Entwurf, weshalb dieses Repo hat ein Build-Gate gegen harte interne Navigation. Modifiziert und Mitte Klicks werden in Ruhe gelassen - diese Geste ist der Benutzer absichtlich fragen nach einem neuen Tab. Zuhören von den Eltern funktioniert, weil der Sandkasten bereits erlaubt-gleichen-Herkunft hält für die Höhenmessung beim Weglassen von allow-scripts, also nichts aus der E-Mail selbst läuft immer; der Handler gehört uns, von außen angebracht. Eine Falle, die es wert ist, aufgezeichnet zu werden, gefangen durch einen eigenen Test: Rückkehr eines Pfades statt einer URL ist notwendig, aber NICHT ausreichend. "https://host/evil.test" ist wirklich gleich-origin, und sein Pfadname ist "//evil.test", den der Router als Protokoll-relativ liest und folgt Off-Site. Eine per E-Mail offene Umleitung, die eine Ursprungsprüfung passiert. Ein solcher Link fällt nun auf eine neue Registerkarte, wo der Browser die reale, harmlose URL auflöst, anstatt stillschweigend an einen Ort umgeschrieben zu werden, hat die E-Mail nicht gezeigt.