- Shipped
- 25 settembre 2026 alle ore 10:17 UTC
- Author
- Kamo
- Commit
- b826b5a
POST /api/session ha memorizzato qualsiasi JSON sotto qualsiasi chiave KS=, con un TTL scelto dal chiamante e senza autenticazione, attraverso una coppia client Redis propria. La sessione Redis esegue maxmemory 2gb con allkeys-lru, così un'alluvione di quelle chiavi espelle ogni *** e OTK e firma l'intero piattaforma fuori; il Redis ACL non può fermarlo perché il percorso scrive come kamo app. Niente leggere KS= chiave e niente chiamato il percorso (la pagina utilizza /api/session/select), quindi viene cancellato, e app/lib/redis.ts è ora l'unico client Redis. Il segnale ha registrato l'intera chiave di sessione due volte, e su un guasto Redis ha stampato lo ioredis errore, che porta gli argomenti del comando fallito (la chiave di nuovo). Ora non registra neanche. test/session-redis.test.mjs (nodo --test test/*.test.mjs) perni entrambi: solo app/lib/redis.ts apre Redis, nessun percorso scrive ad esso, tranne che l'iscrizione cancella la sessione del chiamante, e non segnale-out log line porta l'id, su successo o su un guasto Redis. KamoAI SP00 recensione finale I-2 e P3.