- Se descapó
- 23 de septiembre de 2026 a las 8:37 UTC
- Autor
- Kamo
- Compromit
- 133a70d
Carreras PúblicosPOST /-orgRef-/alerts es el único anónimo, sin autentiquez final en este servicio que envía un correo electrónico en cada llamada aceptada, sin nada de referencia con la frecuencia: a llamar podría enviar un enlace de confirmación a cualquier dirección, repetidamente, en cualquier caso - acoso de un bandeja de entrada real, o riesgo de gasto/reputación sin límites en el propio dominio de envío de la plataforma. Añadir CarrerasAlertAipate (Redis-backed; cada regla es una ventana de tiempo, por lo que no hay cambio de esquema): en la mayoría de las confirmaciones por hora por dirección, sin volver a enviar mientras que una ventana de 24h sin confirmar es en marcha, y un tope de intento por fuente-IP. También tapar cuántas filas no confirmadas puede sostener un org en una vez, una inundación de direcciones nuevas no puede crecer la mesa sin atarse. Cada consulta responde al permanecer en silencio (suscripción (suscripción (suscritas) todavía devuelve 202) en lugar de salir a la superficie de un error distingable. que coincida con la norma actual de que una persona pública nunca debe ser capaz de decir "agilizada" aparte de "enviar", que en sí mismo sería un oráculo para "existe esta dirección". La clave por IP se resuelve a través de LegalClientIp.resolve (el más justo-corriente PUBLICO-For-For-For-For hop), no la lectura de la izquierda de *********** estilo izquierda-más-hop usada para los senderos de auditoría en otra parte de este servicio: el salto más izgano es el que escribe un CLIENTE, así que tecla un acelerador en dejaría que un atacante derrotara el tope per-IP simplemente enviando un valor diferente en cada petición. LegalClientIp propia clase Javadoc documenta exactamente este modo de falla para el caso probatorio; se aplica igual de directamente aquí.