- Verschifft
- 23. September 2026 um 02:18 UTC
- Autor
- Kamo
- Ausschuss
- 71c6d27
k8s/Docs-deployment.yaml's alias Gruppe1 war 'https://api\.*'. Docs's Alias-Matcher (RegexUtil::getValue, std::regex_match) verlangt nur, dass die GANZE-Kandidaten-Behörde übereinstimmen das GANZE Muster, und '.*' absorbiert alles, was "api" folgt. Domain im Internet geformt https://api.<anything", solange sein Besitzer ein "Api"-Etikett in setzen vorne. Docs WSD-Prozess ist derjenige, der einen Alias-passenden WOPI-Host der dereferenziert serverseitig, so dass ein vertrauenswürdiger Alias SSRF-Exposition ist, nicht eine redundante Überprüfung sitzt auf der Oberseite der unterzeichnet WOPI JWT (der Kommentar hier entfernt sagte der JWT war "das eigentliche Tor" - es verengt WHICH document/member a request a fungiert nach dem WopiController fix früher in diesem Zweig, aber nie Gated WHICH HOST Docs würde als legitime WOPI Speicher Endpunkt zu behandeln). Ersetzt durch die eigentlichen Live-Mieter-Hosts: api.kamocrm.com und jede Subdomain davon (kamocrm.com ist Kamos eigene Domain - niemand außerhalb von Kamo kann einen Namen erstellen, der darin endet, so dass diese Hälfte bleibt korrekt, wie neue *.kamocrm.com orgs hinzugefügt werden, ohne redeploy - es ist, was deckt api.demo.kamocrm.com-Stil pro-Or Demo-Hosts heute), gewerkschaftlich mit den org_domains Reihen, die root (parent_id IS NULL), aktiv, ownership_verified AND ssl_confirmed ab 2026-09-22 drei Bedingungen OrgApiHosts.verifiedRootDomain bereits Gates OAuth Callback Hosts auf: b11capital.com, breakbeat.store, chinilaw.com, harmonyhomeloans.net, kamo.club, makeitpopsigns.com, optionone.com, sign.pink, tech-life.com. Neuer Test: DocsAliasHostTest, Lesen des eingesetzten YAML-Wertes als Text (gleiche Konventionen wie ************ und Zusammenstellung mit java.util.regex, deren Matcher#matches hat die gleiche Vollsattel-Semantik wie std::regex_match. Mutation-geprüft: zurück zu 'https://api\..*' wendet 3 seiner 6 Fälle rot (arbiträre Angreifer-Domain, eine Doppelgänger-Domain, die enthält lediglich "kamocrm" als Teilsait, und ein Trailing-Suffix-Trick an einem bekannten Wirt vorbei). NOT A FULL FIX, berichtet als bekannte Lücke: eine völlig neue eigene Domain (keine *.kamocrm.com subdomain) gehen live braucht noch eine Zeile hier hinzugefügt und eine Umschichtung - die gleiche Einschränkung der alten pro-domain aliasgroup1..N Liste hatte, und der Grund, warum es mit der Wildcard in der ersten ersetzt wurde Ort (Docs-fork commit b5d260a24e, "Per-domain aliasgroup1.N Liste nur vertrauenswürdig 4 Mieter; Neue Mieter wie api.optionone.com haben 'unautorisierten WOPI Host'"). Eine dauerhafte Lösung braucht entweder Docs remote_config holen zeigt auf einen Live-Endpunkt, DB-Backed Endpunkt, oder eine Automatisierung, die regeneriert dieses Manifest und rollt Docs, wann immer eine org_domains Reihe neu zufrieden ist ************ - Infra Arbeit, nicht in diese Veränderung gefaltet. Auch für der Koordinator: org_domains hat eine Zeile für domain='localhost' im Besitz von KamoCRM Inc. selbst, active+verified+ssl_confirmed, das eher nach übrig gebliebenen dev/seed data als wie ein echter Mieter aussieht domain; unberührt gelassen (aus dem Spielraum für diese Korrektur, und ändern org_domains Daten erfordert das Handbuch DDL-Pfad), aber einen Blick wert. Volle Suite: 731 Tests grün (war 725; +6 neu).