- शिप
- 17 सितंबर 2026 को 3:13 am बजे UTC
- लेखक
- Kamo
- Commit
- 08b81d7
मेटा कनेक्ट प्रवाह ने अपने URL पर भरोसा किया। ******************* मैंने कनेक्शन आईडी और रिटर्न यूआरएल से लिया कोई सत्र के साथ क्वेरी स्ट्रिंग, और राज्य ने बेस64 (कनेक्शनआईडी ) को रद्द कर दिया था। कौन जानता था कनेक्शन का UUID अपने OWN फेसबुक अकाउंट के साथ प्रवाह चला सकता है और उस संगठन के पेज टोकन को ओवरराइट कर सकता है। इसलिए ऑर्ग के मैसेंजर / इंस्टाग्राम इनबॉक्स को हमलावर का पेज प्राप्त होगा। और रिटर्नयूरल एक खुला पुनर्निर्देशित था एपीआई होस्ट: ******************* उदाहरण के लिए 302 का जवाब दिया। अब किस संबंध के बारे में कुछ भी नहीं लिखा गया है, या जहां ब्राउज़र अगले हो जाता है, यूआरएल से आता है: - POST / कनेक्ट-स्टार्ट (नया) को सदस्य के सत्र और MANAGE CRM SETTINGS की आवश्यकता होती है, जो हर दूसरे को एक दूसरे के लिए बदलता है। सामाजिक कनेक्शन की जरूरत कनेक्शन सदस्य के संगठन (अन्य org के उत्तर जैसे किसी अन्य संगठन) से संबंधित होना चाहिए। एक लापता) और MESSENGER या INSTAGRAM हो। यह रेडिस (सदस्य, ऑर्ग, कनेक्शन, और) में एक एकल उपयोग के इरादे को स्टोर करता है एक रिटर्न यूआरएल OAuthReturnUrlPolicy अनुमोदित) और उत्तर { startUrl } फिर से निर्देशित URI के होस्ट पर। - GET / start? Intent= GETDEL के साथ इरादे को रिडीम करता है, एक यादृच्छिक एकल-उपयोग राज्य को सर्वर-साइड रखा जाता है, और सेट करता है ब्राउज़र-binding कुकी (HttpOnly, सुरक्षित, SameSite=Lax, पथ-स्किप; केवल इसकी SHA-256 संग्रहीत है)। लापता, व्यय या विरासत? संयोजनआईडी = अनुरोध 400 पृष्ठ है, कभी भी एक पुनर्निर्देशित नहीं है। - जीईटी / कॉलबैक जीईटीडीईएल के साथ राज्य को फिर से प्राप्त करता है, कुकी को साफ़ करता है, एक ब्राउज़र को मना करता है जो वह नहीं है जो वह है कि वह नहीं है। इसे शुरू किया, फिर से जांचें कि सदस्य अभी भी योग्य है और अभी भी कनेक्शन के संगठन में है, और केवल संग्रहीत रिटर्न यूआरएल पर रीडायरेक्ट करता है। पेज-टोकन विनिमय स्वयं अपरिवर्तित है। OAuthReturnUrlPolicy एक सांत्वना मूल पर एक पथ के साथ एक https URL को स्वीकार करता है, इस संगठन के सदस्यों का उपयोग करता है (इसके मालिक हैं) लाइव डोमेन, प्रत्येक संगठन ने अपनी सुरक्षा प्रदाता श्रृंखला, प्लेटफॉर्म की स्थापना की, सभी को ऑर्गलिंकहोस्ट द्वारा चुना गया, और इसे अपने पार्स्ड भागों से पुनर्निर्माण करता है; कुछ और ऑर्ग का अपना कंसोल प्लस स्क्रीन का पथ बन जाता है। सेटिंग्स स्क्रीन परिवर्तन जो कैमो-आंतरिक में कनेक्ट-स्टार्ट जहाजों को कॉल करता है। जब तक यह पुराने बटन को तैनात नहीं करता है जिस तरह से यह पहले से ही किया विफल रहा: यह कंसोल होस्ट पर /api/media/... को नेविगेट करता है, जिसका कोई मार्ग नहीं है। टेस्ट: MetaOAuthControllerTest एक ग्राफ एपीआई के साथ MockMvc के माध्यम से प्रवाह चला जाता है जिसे WOULD पेज कनेक्ट करता है, इसलिए प्रत्येक इनकार करना चेक करना है। कुकी चेक को अक्षम करने, पात्रता फिर से जांच, org चेक या एकल उपयोग प्रत्येक परीक्षण विफल रहता है। OAuthReturnUrlPolicyTest पिन स्वीकार किया और यूआरएल को अस्वीकार कर दिया। पूर्ण सूट: 953 परीक्षण, 0 विफलताएं।.