- भेजा गया
- 24 सितंबर 2026 को 12:11 am बजे UTC
- लेखक
- Kamo
- कमिट
- 0eb2550
/api/login, /api/login/mfa और /api/session/चुने हुए पौधे httpOnly:false ("client- सत्र की जाँच के लिए सुलभ) - लेकिन लॉगिन पर कोई ब्राउज़र कोड नहीं है। अधिक; kamo-internal प्रति टैब सत्र किया जाता है। एक पठनीय सत्र कुकी एक XSS से दूर है इसलिए यह HttpOnly अब है। यह लोगोट को भी इरादा के रूप में काम करता है: लोगोट पेज स्क्रिप्ट से प्रत्येक कुकी को हटा दें BEFORE कॉलिंग / एपीआई / लॉगआउट, इसलिए / एपीआई / लॉगआउट कभी नहीं मिला *** to सत्र सर्वर-साइड को अमान्य करें; स्क्रिप्ट अब इसे हटा नहीं सकती है। चार लॉग लाइनों ने एक सत्र आईडी (या लॉग इन OTK) के पहले 32 हेक्स पात्रों को मुद्रित किया - वे अब प्रिंट लंबाई।.