- Diantar
- 13 November 2026 pukul 08.44 UTC
- Pengarang
- Kamo
- Kommit
- 300169a
Halaman doc pada sign.<org>/<locale>/d/<token> mengirimkan pembaca penerima yang diverifikasi di sini sebagai login.<apex>/?return=<doc page>; kamo-register's sign-up parkir yang sama URL dalam kuki apex kamo_doc_return. Jika berhasil - ruang kerja tunggal atau pemilih - kunci satu-waktu SecurityService dicetak untuk internal.<apex>/validate pergi ke rute handoff halaman doc (<doc page>/session?otk=) sebagai gantinya, yang menghabiskannya cara /validate melakukan dan membuka dokumen. Hanya https://sign.<this apex>/<xx>/d/<43-char token> diterima (tidak ada pertanyaan, fragmen, port atau kredensial), sehingga tidak dapat menjadi redirect terbuka. A valid ?return= juga ditempatkan di cookie apex, jadi masih ada jalan pintas verifikasi email berakhir pada dokumen. Kesenjangan yang diketahui: jalur MFA meninggalkan halaman ini oleh server redirect dan masih mendarat di ruang kerja.