El proxy de imágenes pasa por la descarga de MediaService y las cabeceras de arena a través de
MediaService ahora sirve cualquier accesorio fuera de su segura raster/audio/video lista (SVG, HTML, PDF...) con Content-Disposition: attachment, X-Content-Type...
Requiere una sesión válida de *** sobre los endpoints de tuberías no autenticticos
POST /convert-vector y WS /ws/pipeline no tomó auth en absoluto . 4820f44 tapado de suelto de subir y conversión de concurrencia pero dejó abierto el agujero re...
Romper una dependencia circular del frijol que la guardia de sesiones en vivo de la STOMP introdujo
d47b471 SessionAccessGuard field en WebSocketConfig se estrelló cada pod: La primavera debe construir completamente WebSocketConfig (a ************* cada campo ...
Sólo el propietario de una organización puede cambiar quién paga por buzones o extensiones
******************* y ******************* no tenían autorización comprobar en absoluto cualquier miembro de la organización, no sólo su propietario, podría move...
Guardia STOMP SUBSCRIBE a los mensajes en vivo de una sesión y señalización WebRTC
/topic/chat/session/-guidá y /topic/webrtc/session/-guid- fueron no custodiados en absoluto: cualquier enchufe autenticado podría SUBSCRIBE a otra sesión en viv...
Suelta de verificación TLS a todo el proceso de derivación
NODE-TLS-REJECT-UNAUTHTHORIZED: "0" en k8s/configmap.yaml hizo cada Llaman TLS del lado del lado del servidor en este proceso a cualquier host, para cualquier t...
Deja de iniciar fichas de sesión, cookies y contenido de mensajes
Un gruñido para la forma de dos delincuentes conocidos (texto de mensaje de chat y lista de chat vistas previas que van a consola.log) apareció un patrón mucho ...
Rechaza subidas no autentictadas antes de que el cuerpo sea desparpajo
La carga de archivo de chat, la carga de pantalla de informe de fallo de soporte, el Conoce la subida de fondo y los dos proxies de conversiónConversionService ...
Adelante sujetoMemberId y papel para TimecardService puede verificar la propiedad de puñetazo
**************** resuelto el papel del que llamaba en contra de un CLIENTE-SUPPLIED subjectMemberId (resolveRole - EMPLOYEE cuando actor== sujetos== sujeto) per...
Cargos de chat se autentiquen antes de que el cuerpo sea despojado
POST /esiones/-guid-/apélidos unen sus partes como un "SolicitarParam" Parámetro del método MultipartFile[]. Primavera resuelve parámetros de método antes de qu...
DocsService ya no se publica directamente en docs-api.kamocrm.com
La docs-api-ingres IngressRute envió internet directamente a DocsService, alrededor de la puerta de api (y su despojo de cabeza de identidad). Nada usó al huésc...
ConversionService ya no se publica en internet
La conversión-api.kamocrm.com IngressRute envió a cualquiera en Internet a este servicio, donde varios endpoints (/image/resize-bg, /favicon/generate, /convert-...
Desnudan encabezados de identidad suministrados por el cliente en los medios de comunicación.* edge
media-ruta (HostRegexp "media"[.??$) llevaba sólo media-websocket-up-upgrade, así que un llamante golpeando a los medios..domain- directamente podría establecer...
Presencia lee a granel y la parada de barreja de lapresencia con Redis KEYS
getBulkPresence/getBulkLastSeen corrió KEYS PRESENCE:*/PRESENCE-LAST-SEEN:* en cada llamada - golpear cada montaje de presencia y enfoque de pestañas - y el bar...
Auth en los endpoints que pueden tomarlo ahora, ffmpeg/Batik endureciendo en el resto
ResourceServerConfig permite cada solicitud (este servicio es accesible de forma anónima en conversion-api.kamocrm.com), y ninguno de ImageOpsController o Conve...
Dale una petición y límite de memoria
El despliegue no tenía recursos: bloque en absoluto. Sin petición, así que el programador no podía razonar sobre la huella de esta cápsula; sin límite, así que ...
Comisión de Avanza Oluado Stripe Connect webhooks, que no llegó a nada en absoluto
CommissionService registra ******************* directamente con Stripe (OrgStripeSetupService), pero no /api/commissions/** hacia adelante existía en cualquier ...
Talar la API interna de VOIPService-plantar SMS, y nunca reeviar la propia X-Internal-Auth de un cliente
Dos lagunas relacionadas en la misma frontera de confianza. /api/voip/sms/templates/** se remitió al por mayor por /api/voip/** comodín. VOIPService's Internal...
Deja de registrar encabezados/cargas de pago de marcos STOMP y /ws request encabezados
Dos lugares degging de debb sobrantes en el camino WebSocket: - El interceptor de canales entrante de WebSocketConfig registró cada marco STOMP en INFO, incl...
Deriva X-Real-IP desde el lúb-do-alto correcto, no el propio cliente
forward() establecer el X-Real-IP saliente a X-Forwarded-For.split ("")[0] -- el LEFT-más hop, que es la parte de esa cabecera que controla un cliente De plano:...
Llamadas arriba con una conexión y un tiempo de espera de lectura
Ambos granos de RestTemplate fueron construidos a partir de un JdkClientHttpRequestFactory sin tiempo muerto en absoluto. Una aguas arriba que acepta la conexió...
Deja de que se registren fichas, OTKs y cabeceras de OTK en cada petición
forward() imprimió todo el mapa de cabeza copiado en cada llamada -- System.out.println("APIService: cabeceras copiadas: "- fueraHeaders) -- que serializa X-***...
Las comparaciones secretas internas son de tiempo constante y fracasan cerradas
TranscripciónController, RecordingIngestController y RecordingProcessController todos comparados X-Internal-Auth con String.equals (un oráculo de sincronización...
Imágenes obligan a descargar nada que no sea un raster seguro o una corriente
GET/HEAD ************* siempre contestado con el cliente-declarado Content-Type de carga, sin Contenido-Disposición, no X-Contenido-Type-Opciones y sin CSP. Cha...
La página de resultados del proveedor de encuentros OAuth ya no puede salir de su propia etiqueta de script
MeetProviderControllerG /oauth/callback de Controller no tiene sesión y refleja el error de proveedor.descripción en un bloque en línea. El viejo jsString () só...
El HEAD de los medios de comunicación de los estudiantes responde en lugar de colgar
useAttachmentSource sondea con un HEAD después de que falla un elemento de medio, para decirle a un archivo que se ha ido de una sesión que caminó. La ruta espe...
La API de sobres interno falla cerrada y compara su secreto en tiempo constante
**************** usado String.equals contra X-Internal-Auth (un lado de tiempo canal en un secreto compartido) y, cuando esig.internal-auth-seret estaba descone...
La API de dotación de personal ahora requiere un documento correcto, y los sobres de RRHH necesitan uno de recursos humanos
EsignEnvelopeController's **************** membresía de org sólo no hay derecho de documento, sin autorización, nada específico de contexto. Cualquier funcionar...
Thread orgId a través de cada manejador de plantillas, EDIT-DOCUMENTS en escrituras
Somandadores de ESignTemplateService (geSigners, upsertSigners, reorderSigners, Signers, deleteSigner, saveDesign, getLatestDesign, listDesignVersions, getDesig...
RegisterExistingDocument comprueba el org del dat, y una plantilla se puede encontrar imgId dentro de uno
Dos lagunas de análisis de org-scoping que encontró la auditoría de esig/imagen, ambas en los puntos de entrada compartidas otros servicios se basan en: - ****...
La invitación de Hold'em es una especie que el sitio conoce: etiqueta, icono, filtro y mudo
MediaService ha levantado las notificaciones HOLDEM-INVITE desde que Hold'em envió, pero el tipo de faltaba Aquí: la ceja de la tostada imprimió la llave de tra...
El miembro que causó una notificación abre su tarjeta de ella
"Dana Reyes te rendió", "Weekly sync" Dana Reyes, una tarjeta de chat no leí cuyo cuerpo es el remitente: EmailService (29cb21e) ahora envía al actorMemberId (c...
Puerta agregando personas y moviendo una posición como lo hace el servidor, y lista cada área de almacenamiento
- Los botones Agregar y a granel Añadir en /cuenta, y las cuatro páginas de creación, necesitan MANAGE. (MemberAdministrationGate), que SecurityService aplica...
Cinco razones por las que la imagen dorada nunca había sido construida
La construcción nunca había sido ejecutada. Corriendo encontró un error por intento, y el primero Tres cada uno habría producido una imagen de aspecto plausible...
StatusReasonAdviceTest's alias case también necesita MANAGE-EMAIL-ACCOUNTS
La misma forma que la solución AliasResponseMemberIsTextTest: faltaba una sesión compartida de esta clase la derecha, así que crea la nueva puerta de Alias cont...
Cuenta las filas de talento-alerta de talento de una org para la gorra de la forma anónima
El boletín de confirmación de la certificación de talento público de DocsService envía un correo electrónico de confirmación en cada llamada aceptada, sin límit...
ActualizarDocType ahora requiere que el tipo doc pertenezca a la propia org del documento
ImageService.updateDocype cargó el objetivo ImgDocType por UUID solo; requireEditableAndOwned prueba que el llamante puede editar el Img, pero no dice nada sobr...
Suplicaciones de pelados para las preguntas de los candidatos de los candidatos de película en miniatura
DocsService /backfill-thumbnails admin endpoint candidatos seleccionados de los candidatos seleccionados ******************* (plataforma en toda, sin predicado ...
Borrando la versión de la imagen tiene que enviar ", no nulo
******************* se fusiona en lugar de reemplazar, y para la imagen versión a null significa "dejar lo que sea que haya allí en paz" - sólo una cadena en bl...
Controles correctos, SSRF/guardias decredencial y correcciones cruzadas a través de VOIP
Los hallazgos 2-6 de la auditoría del sistema telefónico, se arreglaron juntos porque varios archivos compartidos. 2. ALTO VoipInstanceController no tenía cont...
Los archivos de Growth Hub se reportan en su propia línea
Esto pincha el dominio GROWTH-HUB-sha-shad-shared-libria ganado hoy. Antes de ella, ningún dominio reclamaba el Las dos asociaciones de Growth Hub, y el pase de...
La aplicación Notas es "Notas y listas de verificación"
La aplicación Notas también tiene listas de verificación desde el 2026-09-23 (pasos despegados como están hecho, un paso que espera hasta los pasos previos term...
Agregar personas y la seguridad de los miembros necesitan sus derechos
POST /miembros/crear, /create-team-miembro y /bulk-create, y GET /members/lookup-user, ahora requiere MANAGE.Dengmérstites o una ventana de dios abierto. Revisa...
La invitación de Hold'em y el recordatorio de la reunión dicen de quiénes son
MiembroNotificationClient.raise gana una sobrecarga que transporta al actorMemberId/actorName (el id enviado como texto; la firma antigua no cambia y no envía n...
Quién causó una notificación viaja con ella, para que la campanada pueda dibujarlos como miembro
- NotificaciónRequesta gana actorMemberId/actorName; el viejo constructor se queda para cada productor que Es anterior a ellos. - la subida() mantiene el par ...
Una notificación puede decir de quién lo hace
MiembroNotificación de los Gana ACTOR-MEMBER-ID (INT8) y ACTOR-NAME (255): el miembro que lo causó - quién te reparte, cuya reunión está comenzando, quien te es...
La función del plan Notas es "Notas y listas de verificación"
La aplicación Notas también tiene listas de verificación desde el 2026-09-23 y se llama "Notas y listas de cheques" en todas partes se llama. Comparación de la ...
Los espejos NOTES dicen "Notas y listas de cheques", como lo hace Java ahora
ServiceType.NOTES se renombra en la biblioteca compartida de kamo, en copia solamente: el nombre de la pantalla es "Notas & Checklists" y la descripción ahora c...
La pestaña de la plataforma, y tres enlaces que mostraban sus propias llaves
Dos insectos, ambos reportados desde el lugar de la carrera. LOS SETTINGS LINKS SHOWED KEY PATHS Los tres sub-enlaces de la computadora anfitriona llevaban la ...
Requiere MANAGE-DOCS-SETTINGS en cada mutación de los doc-settings, no sólo algunos
La página de configuración siempre envió a un miembro sin MANAGE-DOCS-SETTINGS away, pero diez mutaciones endpoints en ImagingSettingsController nunca se pregun...
Como lo que ves enviaste?
Todo llega a su espacio de trabajo por sí solo. Comience en el plan gratuito y lea esta página de nuevo en un mes.