- शिप
- 23 सितंबर 2026 को 2:18 am बजे UTC
- लेखक
- Kamo
- Commit
- 71c6d27
k8s/Docs-deployment.yaml's aliasgroup1 'https://api\.*' था। Docs alias matcher (RegexUtil:: get मूल्य, std::regex match) के लिए केवल यही आवश्यकता है कि WHOLE उम्मीदवार प्राधिकरण मैच डब्ल्यूएचओएल पैटर्न और '*' जो कुछ भी "api" का अनुसरण करता है उसे अवशोषित करता है - इसलिए यह वास्तव में किसी भी पर भरोसा करता है इंटरनेट पर डोमेन ने https://api.<anything> को आकार दिया, जब तक इसके मालिक ने "api" लेबल डाला। सामने डॉक्स की WSD प्रक्रिया वह है जो Alias-matched WOPI होस्ट को अलग करता है सर्वर-साइड, इसलिए एक विश्वसनीय उपनाम एसएसआरएफ एक्सपोजर है, एक अनावश्यक जांच नहीं है जो शीर्ष पर बैठे हैं WOPI JWT पर हस्ताक्षर किए गए (टिप्पणियां यहां हटा दी गई) ने कहा कि JWT "वास्तविक गेट" था - यह WHICH को संकुचित करता है इस शाखा में पहले WopiController के अनुसार एक अनुरोध कार्य करता है, लेकिन कभी नहीं गेटेड व्हिच हॉस्ट Docs एक वैध WOPI भंडारण समापन बिंदु के रूप में इलाज होगा। वास्तविक लाइव किरायेदार होस्ट के साथ बदल दिया: api.kamocrm.com और इसके किसी भी उप डोमेन (kamocrm.com) कामो का अपना डोमेन है - कामो के बाहर कोई भी इसमें समाप्त नाम बना सकता है, इसलिए यह आधा रहता है नए के रूप में सही *.kamocrm.com orgs जोड़ा जाता है, कोई redeploy के साथ - यह क्या कवर किया जाता है api.demo.kamocrm.com-शैली प्रति-ऑर्ग डेमो होस्ट आज), संघ के साथ org domains पंक्तियों कि कर रहे हैं जड़ (parent id is NULL), सक्रिय, स्वामित्व verified और ssl confirmed as 2026-09-22 — समान तीन शर्तों OrgApiHosts.verifiedRootDomain पहले से ही गेट्स OAuth callback मेजबान: b11capital.com, breakbeat.store, chinilaw.com, सद्भावhomeloans.net, kamo.club, Makeitpopsigns.com, optionone.com, sign.pink, Tech-life.com. नया परीक्षण: DocsAliasHostTest, परिनियोजित YAML मान को पाठ के रूप में पढ़ता है (same convention as) ************* और इसे java.util.regex के साथ संकलित, जिसका मैचर #matches है एक ही पूरे स्ट्रिंग semantics std के रूप में: Regex match। Mutation-checked: वापस करने के लिए 'https://api \..*' अपने 6 मामलों में लाल (arbitrary attacker डोमेन, एक lookalike डोमेन है कि बदल जाता है केवल एक substring के रूप में "kamocrm" शामिल हैं, और एक ज्ञात होस्ट अतीत में एक ट्रेलर-suffix चाल। नहीं एक पूर्ण FIX, एक ज्ञात अंतर के रूप में रिपोर्ट: एक पूरी तरह से नए कस्टम डोमेन (नहीं एक *.kamocrm.com) सबडोमेन) अभी भी लाइव होने की जरूरत है एक लाइन यहाँ जोड़ा गया और एक redeploy — समान सीमा पुराने प्रति डोमेन aliasgroup1.N सूची में था, और कारण यह पहली बार में वाइल्डकार्ड के साथ बदल दिया गया था स्थान (Docs-fork प्रतिबद्ध b5d260a24e, "Per-domain aliasgroup1.N सूची केवल 4 किरायेदारों पर भरोसा किया; api.optionone.com जैसे नए किरायेदारों को 'अनधिकृत WOPI होस्ट' मिला। एक टिकाऊ निर्धारण की जरूरत है या तो डॉक्स के रिमोट कॉन्फ़िग को लाइव, डीबी समर्थित समापन बिंदु या स्वचालन पर इंगित किया गया है कि जब भी एक org domain पंक्ति नव satisfies ************* - infra काम, इस परिवर्तन में नहीं मुड़ा। इसके अलावा समन्वयक: org domains डोमेन के लिए एक पंक्ति है ='localhost' स्वामित्व में KamoCRM Inc. स्वयं, सक्रिय + सत्यापित + sl confirm, जो वास्तविक किरायेदार के बजाय बायीं ओवर देव / बीज डेटा की तरह दिखता है डोमेन; बाएं untouched (इस फिक्स के लिए दायरे से बाहर, और org domains डेटा को मैन्युअल की जरूरत है डीडीएल पथ लेकिन एक नज़र लायक है। पूर्ण सूट: 731 परीक्षण हरे रंग (725; +6 नया)।.