- Se descapó
- 23 de septiembre de 2026 a las 10:41 UTC
- Autor
- Kamo
- Compromit
- 2566947
media-ruta (HostRegexp "media"[.??$) llevaba sólo media-websocket-up-upgrade, así que un llamante golpeando a los medios..domain- directamente podría establecer X-Org-Id, X-Member-Id, X-Public-Chat-Org-Id, X-Public-Chat-Key-Hash y el resto de la identidad cabecera se puso y haz que MediaService los vea sin rayados - el mismo carve-out api-route, ai-chart-ws-route y el escritorio-ws-route ya se aplican en sus propios bordes. Añadecabezas de la identidad de la tira (namespace kamo, definido en KlusterServices traefik/middleware.yaml) por delante de la actualización de la red media-websocket en el middleware Cae cadena. Los navegadores nunca envían a estos encabezados y a los que llaman en el cluster utilizan el servicio DNS, por lo que nada legítimo depende de que lleguen a MediaService desde fuera del grupo. Validado con aplicación de "kubectl" --dry-run=server -f k8s/ingressroute.yaml. ******************* configurado (servidor seco run)).