- Dikirim
- 17 September 2026 pukul 03.13 UTC
- Penulis
- Kamo
- Commit
- 29369e3
Discord DM sampai MediaService hanya melalui DiscordGatewayManager 's WebSocket, yang mempublikasikan langsung ke Sosial.inbound.raw. Tapi setiap koneksi sosial memiliki token webhook, dan SocialInboundController memverifikasi sebuah posting ke / api / sosial / webhook / {token} dengan adaptor manapun nama sambungan token. DiscordAdapter.verifyWebhook Jawaban benar, pada asumsi bahwa itu tidak pernah disebut. Jadi siapapun yang memegang tanda webhook koneksi Discord dapat memposting sebuah MADE-up MESSAGE _ CREATE dan memilikinya menelan sebagai DM, membuat percakapan dan memimpin di bawah apapun nama. Tidak ada tanda-tangan untuk memverifikasi: Discord tidak pernah mengirim permintaan ke path ini (Interaksi yang ditandatangani Ed25519- titik akhir adalah fitur yang berbeda bahwa adaptor ini tidak terimplementasi). Jadi verifikasi Webhook sekarang menolak, dan sebuah posting untuk koneksi Discord adalah 403 sebelum apapun log atau diterbitkan. Jalur Gateway tak tersentuh. SosialInboundDiscordWebhookTest posting sebuah DM palsu melalui controller dengan adaptor nyata: 403, tidak ada log, tidak ada yang diterbitkan. Penyedia adaptor yang memverifikasi masih melewati titik akhir yang sama. Dengan yang lama Kembali benar tes pertama gagal.