- Dikirim
- 23 September 2026 pukul 02.18 UTC
- Penulis
- Kamo
- Commit
- 71c6d27
k8s / Docs- deployment.yaml 's aliasgroup1 adalah' https: / / api\ * '. Pengganti alias dokumen (RegexUtil: get Nilai, std:: regex _ match) hanya dibutuhkan bahwa otoritas kandidat WHOLE cocok pola WHOLE, dan '. *' menyerap apa pun berikut "API". - jadi ini dipercaya harfiah setiap domain pada bentuk internet https: / / api. < apa pun >, selama pemiliknya menempatkan sebuah "api" label dalam depan. Proses WSD Docs adalah salah satu yang dereferensi sebuah alias- cocok dengan host WOPI server- sisi, sehingga alias terpercaya adalah eksposur SSRF, bukan cek redundan duduk di atas Ditandatangani WOPI JWT (komentar dihapus di sini mengatakan JWT adalah "gerbang sebenarnya" - itu memperkecil WHICH dokumen / anggota a request acts as, per the WopiController fix early in this branch, but never gated WHlCH HOST Docs akan memperlakukan sebagai titik akhir sah penyimpanan WOPI). Diganti dengan host penyewa hidup yang sebenarnya: api.kamocrm.com dan subdomain apapun itu (kamocrm.com adalah domain Kamo sendiri - tidak ada di luar Kamo dapat membuat nama berakhir di dalamnya, sehingga setengah ini tetap benar sebagai baru * .kamocrm.com orgs ditambahkan, tanpa replashing - itu adalah apa meliputi api.demo.kamocrm.com-style per-org demo host hari ini), union 'd dengan org _ domains baris yang root (parent _ id IS NULL), aktif, kepemilikan _ verified AND ssl _ confirmed seperti 2026-09- 22 - sama tiga kondisi Organ ApiHosts.verifiedRootDomain sudah gerbang OAuth callback host on: B11capital.com, breakbet.store, chanilaw.com, harmonyhomeloans.net, kamo.club, makeitpopps.com, optionone.com, sign.pink, tech.com. com. Tes baru: DocsAliasHostTest, membaca nilai YAML yang dipakai sebagai teks (konvensi sama seperti * * * * * * * * * * * * dan mengkompilasi dengan Java.util.regex, Matcher # yang cocok memiliki the same whole-string semantik std:: regex _ match. Mutasi - dicentang: Mengembalikan ke 'https: / / api\.. *' ternyata 3 dari 6 kasus merah (sewenang-wenang domain penyerang, domain lookalike yang hanya berisi "kamocrm" sebagai substring, dan trailing--suffix trik masa lalu host yang dikenal). TIDAK FIX FULL, dilaporkan sebagai kesenjangan yang dikenal: sebuah domain custom yang sepenuhnya baru (bukan sebuah * .kamocrm.com subdomain) akan hidup masih membutuhkan sebuah baris ditambahkan di sini dan sebuah re-output - batasan yang sama yang lama per- domain aliasgroup1.. daftar N, dan alasan itu diganti dengan wildcard di pertama place (Dokter-fork commit b5d26024e, "Per- domain aliasgroup1.. N list hanya dipercaya 4 penyewa; penyewa baru seperti api.optionone.com mendapat 'host WOPI tidak sah' "). Perbaikan tahan lama membutuhkan baik Remote _ config mengambil dokumen menunjuk sebuah titik akhir yang didukung DB-, atau sebuah otomatisasi yang meregenerasi daftar muatan dan gulung Dok ketika sebuah org _ domains baris baru memenuhi * * * * * * * * * * * * * * bekerja, tidak dilipat ke perubahan ini. Juga dicatat untuk koordinator: org _ domains memiliki baris untuk domain = 'localhost' dimiliki oleh KamoCRM Inc. sendiri, active + verified + ssl _ confirmed, which looks like leaver dev / seed data daripada sebuah penyewa nyata domain; dibiarkan tak tersentuh (diluar lingkup untuk memperbaiki ini, dan mengubah org _ domains data membutuhkan manual Jalan DDL) tapi layak dilihat. Full suite: 731 test green (was 725; + 6 new).