- Verschifft
- 17. September 2026 um 04:16 UTC
- Autor
- Kamo
- Ausschuss
- 3392afe
Die Reset-Seite schickte den 8-Zeichen-Code aus dem Brief auf seine eigene, und SecurityService überprüft es gegen Jeder Account ist auf einmal ein ausstehender Reset ohne Zählung. SecurityService bindet jetzt einen Code an das Konto Eingegebene Adressnamen und erlaubt fünf Versuche pro Stunde pro Adresse und Konto (CodeAttemptLimiter). Der Code-only Anfrage funktioniert immer noch, aber es teilt ein kleines Budget über die gesamte Plattform, so dass diese Seite muss die Adresse zu senden. - reset-passwort/page.tsx: die Überprüfungscode-Anfrage trägt die Adresse, die das Mitglied eingegeben hat, um den Buchstaben anzufordern (immer auf dieser Seite vorhanden, da das Code-Formular erst danach erscheint). Eine Absage kommt als 429 mit eine Nachricht, die die Seite bereits zeigt. - api/recover proxy: Forwarded-For und X-Real-IP wörtlich, wie es der Proxy von kamo-register tut. Überwunden Cluster DNS jede Recovery-Anfrage sonst kommt von dieser Hülse, so dass die pro-Adresse Grenze nicht Erheben Sie Anrufer auseinander und müssen sie überspringen. Entweder Einsatz-Auftrag funktioniert. SecurityService ignoriert unbekannte JSON-Eigenschaften, so dass ein älterer einfach die Adresse, und eine neuere, akzeptiert immer noch die Code-only-Anfrage von einer älteren Seite.