- Dikirim
- 19 Agustus 2026 pukul 02.19 UTC
- Penulis
- Kamo
- Commit
- f760aef
KToken tidak bisa memverifikasi token nyata. Empat ids yang dibawanya adalah in64s, dan Java signer (kamo- shared-library KToken # canonicForMac) menambahkan masing-masing sebagai 'long' mentah, jadi semua 19 digit masuk ke MaC material. Kelas ini membaca mereka dengan Nomor (), yang putaran masa lalu 2 ^ 53, dan setiap setter kemudian diterapkan 'v melepas 124; 0' -- pemotongan 32- bit di atas pembulatan. 1168485648209608710 keluar sebagai integer kecil, HMAC yang dihitung ulang tidak cocok salah satu server ditandatangani, dan parseAndVerifyCookie kembali null: sebuah token valid dibaca sebagai ditempa. Ini hanya pernah setuju dengan dirinya sendiri, pada ID cukup kecil untuk mewakili. ID sekarang sendiri string digit cookie, sehingga material cocok signer byte untuk byte, dan divalidasi oleh bentuk daripada Number (), yang akan mengalahkan titik. Panjangnya tetap sebuah angka -- epoch detik adalah ~ 1.8e9 dan tidak dalam bahaya. Tidak ada panggilan parseAndVerifyCookie hari ini; cookie diteruskan ke layanan Verbatim. Jadi ini perbaikan sebuah ranjau darat daripada outage - tetapi ini adalah sebuah ranjau darat dalam path auth, di mana kegagalan akan terlihat seperti login ditolak daripada bugs pembulatan. Perubahan yang sama seperti kamo- internal f55a95c9, di mana membawa mutation-terbukti tes: 4 dari 6 gagal terhadap implementasi sebelumnya. Repo ini tidak memiliki uji coba pelari.