- Se descapó
- 6 de agosto de 2026 a las 17:44 UTC
- Autor
- Kamo
- Compromit
- 860ea93
OTKAuthFilter bypasses únicamente /actuator, /api/esig/public y /api/esig/internal, así que este prefijo está detrás del personal OTK auth con orgId/memberId already on the petición. El destinatario nunca es una variable de ruta: se resuelve haciendo coincidir EsignEnvelopeRecipiente.memberId to the id member OTK, por lo que no hay parámetro a El miembro puede cambiar para llegar a la fila de un colega. No-encontrado, no-tu-org y No-on-this-envelope todos responden a un idéntico 404. No /delegate - entrega un documento de cumplimiento a un correo electrónico externo arbitrario sin aprobación y sin bandera de desactivada; excluida por omisión, no por bandera. No. /decodificador y sin /stepup tampoco: el decodificador de recipiente pertenece al vacío de HR ruta, y el paso se tecla en una sesión de señalización Redis que esta superficie no tiene. signerIpDires viene de un paseo X-Forwarded-For-RIGHT-to-FT. EsignPublicController.clientIp lee de izquierda a derecha, que está controlado por clientes y por lo tanto, esponsible, y ese valor aterriza en un campo probatorio.