- Expédié
- 24 septembre 2026 à 00:11 UTC
- Auteur
- Kamo
- Commit
- 0eb2550
/api/login, /api/login/mfa et /api/session/select planté *** avec httpSeulement:false ("client- — mais aucun code de navigateur sur la connexion.* ou kamo-interne le lit n'importe quel plus; kamo-interne porte la session par onglet. Un cookie de session lisible est un XSS loin d'un session volée, donc c'est Http seulement maintenant. Il rend également le travail de débrayage comme prévu: la page de débrayage supprime chaque cookie du script AVANT d'appeler /api/logout, donc /api/logout n'a jamais trouvé *** à invalider le script côté serveur de session; ne peut plus le supprimer. Quatre lignes de log ont imprimé les 32 premiers caractères hexagonaux d'un identifiant de session (ou d'un identifiant OTK) — ils longueur d'impression maintenant.