- Shipped
- 17 settembre 2026 alle ore 04:21 UTC
- Author
- Kamo
- Commit
- 5ec18e5
POST /api/media/canva/connect-start memorizzato qualsiasi restituzioneUrl il corpo chiamato, e il richiamo OAuth sull'host API reindirizza ad esso dopo la schermata di consenso di Canva. Qualsiasi membro firmato potrebbe quindi minare un link Canva che collega atterra chi lo segue su un sito arbitrario, da un host Kamo — il redirect aperto fissato nel flusso Meta (08b81d7), dietro una sessione. L'URL di ritorno passa ora attraverso lo stesso OAuthReturnUrlPolicy: un URL https con un percorso su un'origine della console l'organizzazione del membro (il suo dominio live, i suoi fornitori di sicurezza, la piattaforma) è tenuta, qualsiasi altra cosa diventa il la schermata delle impostazioni di Org Canva. La schermata delle impostazioni invia già il proprio URL assoluto, quindi un vero e proprio collegare le terre dove l'ha fatto. Gli azionamenti CanvaConnectReturnUrlTest colleganoStart con la politica reale; memorizzare il valore grezzo fallisce il suo primo test.