- Enviado
- 24 de septiembre de 2026 a las 0:11 UTC
- Autor
- Kamo
- Commit
- 0eb2550
/api/login, /api/login/mfa y /api/session/select plantado *** con httpOnly:false ("client- accesible para cheques de sesión") — pero ningún código del navegador en el login.* o kamo-internal lee cualquier más; kamo-internal lleva la sesión por ficha. Una cookie de sesión legible está a un XSS lejos de un sesión robada, así que es HtpOnly ahora. También hace que el logotipo funcione como se desee: la página del logout elimina cada cookie de script BEFORE llamando /api/logout, por lo que /api/logout nunca encontró *** a invalidar el lado servidor de sesión; script ya no puede eliminarlo. Cuatro líneas de registro imprimieron los primeros 32 caracteres hex de una sesión id (o de un login OTK) — ellos imprimir longitudes ahora.