- Expédié
- 23 septembre 2026 à 22:13 UTC
- Auteur
- Kamo
- Commit
- d7ff5ed
Les membres ouvrent leur compte avec une adresse personnelle (gmail, yahoo) et sont plus tard une adresse de travail de leur organisation, qui est celle dont ils se souviennent et tapez sur le mot de passe oublié. Ce n'est que sur l'hôte de connexion de leur org, puis la lettre est allée à la boîte de réception. Pour 20 des membres de KamoCRM KamoMail boîte aux lettres, qui est lue à l'intérieur du produit, ils viennent d'être verrouillés Dehors. Sur tout autre hôte, l'adresse ne correspondait à personne, et la page a dit "si cela e-mail est enregistré, un lien a été envoyé" n'ayant rien envoyé. /api/recover/email/initiative répond maintenant à l'e-mail du compte exactement comme avant. Pour toute autre adresse il cherche une adresse de travail de membre: d'abord dans l'org dont la page de connexion est ( boîte aux lettres principale, puis membres.email), puis dans n'importe quel live org. Lorsque cela nomme un compte avec une adresse propre, rien n'est envoyé. Les réponse est un 409 avec raison WORK EMAIL et personnelEmailHint, l'adresse de compte avec chaque caractère du nom entre le premier et le dernier étoilé, et le domaine en entier. Il s'agit d'un 409 dans le but : une page de connexion qui prédate le l'indice indique `message` pour un non-2xx, et `message` dit la même chose en mots. Un compte sans adresse lui-même reçoit toujours la lettre dans la boîte de réception de travail sur l'hôte de son org, car c'est la seule boîte de réception enregistrée. L'indice dit qu'une adresse appartient à quelqu'un, que la réponse générique jamais a fait, donc chacun est compté par CodeAttempLimiter: cinq l'heure par adresse dactylographié, plus la limite d'adresse de l'appelant partagée avec les vérifications de code. Après ça la demande obtient un 429.