- Se descapó
- 15 de agosto de 2026 a las 14:16 UTC
- Autor
- Kamo
- Compromit
- 96ed91e
los.proxy-hmac.enabled ha estado cayiendo a través de su falso default desde este servicio desplegado, así que ProxyHmacFilter existió y nunca corrió. X-Org-Id - la cabecera todas las consultas de org-scoped en este servicio se desconfió de no ser firmadas y en forma de cliente en un API de préstamo multi-inquilino en vivo. Seguro para habilitar ahora porque el paso 1 aterrizó primero: montes internos de kamo el mismo el secreto de la-proxy-hmac y su vaina de running está firmando, verificada antes de que esto fuera empujado. La orden inversa habría rechazado cada solicitud de préstamo en la plataforma. Comprobado antes de voltearlo: - el filtro sortea /actuator/**, por lo que la startup y las sondas de preparación todavía pase. Si los hubiera atrayado, la cápsula nunca se prepararía y esto se volvería. - Ella misma. - sorteaba /api/los/webhooks/**, por lo que Stripe sigue trabajando. por la propia firma de Stripe en su lugar. - kamo-internal es el único que llama de Kamowslos-service, por lo que no hay no firmados senda de servicio a servicio que se deja atrás. Esto no sustituye los controles de org en LoanService y LoanScope. Resucita lo que X-Org-Id significa de "un cabezazo que alguien envió" a "una cabecera este representante enviado", mientras que esos deciden si el org nombrado puede ver la fila. Defensa en profundidad: tampoco suficiente solo.