- Expédié
- 17 septembre 2026 à 04:21 UTC
- Auteur
- Kamo
- Commite
- 5ec18e5
POST /api/media/canva/connect-start stocké n'importe quel retourEntrever le corps nommé, et le rappel OAuth sur l'hôte API redirigés vers elle après l'écran de consentement de Canva. Tout membre signé pourrait donc frapper un lien de connexion Canva qui Land qui s'en prend à la connaissance de qui il s'agit d'un site arbitraire, d'un hôte de Kamo - la redirection ouverte fixée dans le flux de Meta (08b81d7), derrière une session. L'URL de retour passe maintenant par la même OAuthReturnUrlPolicy: un https URL avec un chemin sur une origine de la console l'organisation d'un membre (son domaine en direct, ses fournisseurs de sécurité, la plate-forme) est conservée, toute autre solution devient la l'écran des paramètres Canva d'org. L'écran des paramètres envoie déjà sa propre URL absolue, donc un vrai lien entre les terres où c'est le cas. CanvaConnectReturnUrlTests oriente connectStart avec la vraie politique; le stockage de la valeur brute échoue à son premier test.