- शिप
- 14 अक्टूबर 2026 को 4:16 pm बजे UTC
- लेखक
- Kamo
- करना
- 618ee73
राज्य Base64 JSON {orgId, nonce, प्रदाता} था जो कॉलर द्वारा बनाया गया था, nonce कभी संग्रहीत या चेक नहीं किया गया था, और सत्र रहित कॉलबैक ने डीकोडेड पर भरोसा किया orgId - कोई भी अपने स्वयं के ज़ूम या Microsoft खाते को दूसरे से जोड़ सकता है org. MeetingOAuthStateStore अब एक यादृच्छिक 64-hex टोकन जारी करता है, जो ऑर्ग के लिए बाध्य है। सदस्य और प्रदाता (10 मिनट TTL); कॉलबैक इसे GETDEL, एक के साथ खर्च करता है परमाणु आदेश, इसलिए एक जाली, समाप्त हो गया, फिर से खेलना या समवर्ती सेकंड कॉलबैक प्रदाता को बुलाने से पहले मना कर दिया जाता है। Redirect-URI lookup peeks. Token रीफ्रेश में कोई लॉक नहीं था और कॉलर के लेनदेन के अंदर लिखा था जबकि ज़ूम हर उपयोग पर ताज़ा टोकन को घुमाता है: एक बार में दो फली ताज़ा एक बार फिर एक बार छोड़ दिया गया। रीफ्रेशIfNeed अब प्रति Redis लॉक लेता है (ऑर्ग, प्रदाता) (30 s पट्टा, मालिक की जांच की रिहाई), फिर से एक पंक्ति में पढ़ने के लिए REQUIRES NEW लेनदेन (एक वेटर आमतौर पर विजेता के नए अनुदान को पाता है और कभी भी ताज़ा टोकन खर्च नहीं करता है, और परिणाम को स्टोर करता है बैठकOAuthTokenWriter (REQUIRES NEW), ताला मुक्त होने से पहले प्रतिबद्ध है।.