- Expédié
- 8 septembre 2026 à 01:51 UTC
- Auteur
- Kamo
- Commite
- 53edef7
Le re-ensemble de capture encodage chaque segment, et le commentaire affirmait que cela signifiait qu'il ne pouvait jamais s'adresser qu'à l'API d'échecs. 'encodeURIComponent('..') est '. '. . . . . . . . . . . . . . . . . les points ne sont pas codés et l'analyseur d'URL à l'intérieur de l'extraction résout le segment, donc "Echess/../sessions/x" aurait laissé le préfixe pour un autre de MediaService contrôleurs. Boundedssez plutôt que dangereux: l'OTK est la propre session de l'appelant et tous les le point d'entrée impose sa propre authentification, donc rien n'est accessible que l'appelant puisse pas déjà par sa propre voie. Mais il a fait une réclamation dans le commentaire false, et cette affirmation est le type sur lequel un lecteur s'appuie lorsqu'il décide que ce fichier est C'est sûr de partir seul. Les segments de '', '.' et '.. sont purement et simplement refusés maintenant. Rien de légitime n'est perdu: chaque chemin d'échecs est fixe, UUIDs et ids membres numériques.