- Diantar
- 24 September 2026 pukul 00.11 UTC
- Pengarang
- Kamo
- Kommit
- 0eb2550
/ api / login, / api / login / mfa dan / api / session / select ditanam * * * dengan httpOnly: false ("client- akses untuk pemeriksaan sesi ") - tapi tidak ada kode peramban di login. * atau kamo- internal membacanya apapun lebih; kamo- internal membawa sesi per tab. Sebuah cookie sesi yang dapat dibaca adalah salah satu XSS jauh dari sesi curian, jadi sekarang HttpOnly. Hal ini juga membuat logout bekerja seperti yang dimaksudkan: halaman log keluar hapus setiap cookie dari script sebelum memanggil / api / log keluar, jadi / api / log tidak pernah ditemukan * * * invalidate sesi server-side; script tidak bisa lagi menghapusnya. Empat baris log dicetak 32 karakter hex pertama dari sebuah id sesi (atau dari sebuah OTK login) - mereka Cetakan panjang sekarang.