- Se descapó
- 24 de agosto de 2026 a las 22:02 UTC
- Autor
- Kamo
- Compromit
- 3300da2
El aislamiento de la habitación era el HOST. Un miembro de org B no podía presentar un *** cookies en la reunión.org-A-domain, así que sabiendo que el nombre de la habitación de org A los consiguió En ninguna parte. Servir a organizaciones sin un dominio propio de uno El anfitrión compartido termina eso: la galleta de cada miembro es válida allí, la habitación el nombre se convierte en el único límite, y /api/auth/jwt mints a MODERATOR token por cualquier habitación que se pida. Saber que un nombre de habitación habría sido suficiente para unirse a la reunión de otra persona y dirigirlo. Las salas ahora llevan un token de org derivado del id de la sesión, y un al miembro sólo se le emite un símbolo para una habitación que lleve la suya. Derivado de el DNI porque es la clave de un inquilino que la sesión realmente tiene... No existe en ***, así que la vieja expresión siempre cayó al anfitrión, que en el anfitrión compartido es un valor para cada organización. Por eso contexto.group no agrupeba nada allí. Un anfitrión de reuniones por organización mantiene su comportamiento previo exactamente: el anfitrión sigue siendo el límite, y hacer cumplir un prefijo rompería todas las habitaciones hechas Antes de que esto existiera. El camino de los huéspedes tenía la misma forma de error del otro lado. Se leía. requirePassword by HOSTNAME, que en el host compartido resuelve el organización de la plataforma -- por lo que un inquilino que requiere una contraseña de reunión sería ha tenido que dejarlo tranquilamente para cada invitado. Un invitado no tiene sesión, así que el org ahora viene de la habitación de ficha, y context.group con él más bien que de una orgAlias abastecida por la persona. kamo-internal tótame el mismo token (base 36 del org id) y una prueba pincha los valores literalmente a través de ambas implementaciones, ya que están en diferentes idiomas y de lo contrario se desplazarían silenciosamente.