- Verschickt
- 24. September 2026 um 00:11 UTC
- Autor
- Kamo
- Commit
- 0eb2550
/api/login, /api/login/mfa und /api/session/select gepflanzt *** mit httpOnly:false ("client- zugänglich für Sitzungsüberprüfungen") - aber kein Browser-Code bei der Anmeldung.* oder kamo-internal liest es alle kamo-internal trägt die Sitzung pro Tab. Ein lesbarer Session Cookie ist ein XSS von einem gestohlene Sitzung, so ist es HttpNur jetzt. Es macht auch Logout Arbeit wie geplant: die Logout-Seite löscht jedes Cookie aus dem Skript BEFORE Aufruf /api/logout, so /api/logout nie gefunden *** Die Sitzungsserver-Seite ungültig; Skript kann sie nicht mehr löschen. Vier Logzeilen gedruckt die ersten 32 Hex-Zeichen einer Session-ID (oder eines Login-OTK) Drucklängen jetzt.