- Se descapó
- 26 de agosto de 2026 a las 3:16 UTC
- Autor
- Kamo
- Compromit
- 22dbfe1
Cerrando la pestaña KamoDesktop dejó una sesión en vivo sentada en la máquina. Guacamole mantiene su ficha auth en localStorage (GUACAUTH), que sobrevive a cerrar la cuenta, Cerrando la ventana y reiniciando el navegador, y las estancias silbadas válidas para 60 minutos después de su último uso. Así que la siguiente persona en abrir la puerta de entrada en eso La computadora heredó el escritorio de la persona anterior. Reproducido de punta a punta. Dos cambios, deliberadamente el lado del servidor primero. El borde ahora redirige una solicitud de documento desnuda a login.kamocrm.com. KamoDesktop tiene exactamente un punto de entrada legítimo - un enlace firmado de un solo uso acuñado para alguien ya autenticado a Kamo, por lo que una persona escribiendo el nombre de huéstre, o restaurar un marcador, o dejar que el navegador se autocomplete, no tiene negocio ver la caja de contraseña de Guacamole. Sirviendo uno ofrece un objetivo de relleno de credenciales para la cuenta de "sage" y permite a un navegador sostener un símbolo vivo en silencio reanudar un sesión. Alcances a la ruta a propósito: una carga de SPA fría tira de 41 activos y API llamadas que llevan no ?data=, por lo que cualquier cosa más amplia rompe la aplicación directamente. El fragmento de "cliente/... nunca llega al servidor, por lo que un enlace profundo marcado es aquí y rebota también, lo que es correcto. Y la ficha se revoca ahora cuando la cuenta desaparece, en lugar de meramente Olvidado: DELETE /api/session con la cabecera Guacamole-Token (verificada en vivo. 204, y el símbolo deja de funcionar inmediatamente). Se saltó por una congelación de bfcache, así que pulsando atrás no firma a nadie. kamo-reconnect.js se ha ido. Existía al papel durante las sesiones de caída, tomó el escritorio abajo dos veces, y las causas que estaba compensando para los despliegues de reinicio la puerta de entrada, y la OOM se fijan en su fuente. Lo que lo reemplaza es un el cuarto del tamaño y su peor fracaso es que estás firmado, que es el resultado que está tratando de producir.