- Spegnimento
- 6 settembre 2026 alle ore 22:32 UTC
- Autore
- Kamo
- Impegno
- ea6d631
Il percorso di ingresso del telefono-server aggiunto nel commit precedente verificato contro qualsiasi fornitore ha portato il numero. Questa è una superficie di falsificazione, e non Ipoteticamente, e' vero. RingCentral's è `return true; // TODO`. Il punto finale è non autorizzato da costruzione — un vettore non contiene credenziali, ma la sua firma — quindi un numero indirizzato a uno di quei server telefonici avrebbe permesso a chiunque sapesse che numero POST messaggi in entrata nel thread dell'organizzazione. Compreso STOP, che fermerebbe l'inquilino scrivendo un cliente che non ha mai chiesto di essere lasciato solo. Lo slug nell'URL dice quale vettore ha inviato. Solo un server telefonico dello stesso la società può verificarlo; qualsiasi altra cosa viene rifiutata prima che il suo controllo di firma sia consultato per niente. Abbinato al nome enum piuttosto che ad un TELNYX codificato, quindi il prossimo fornitore che è sia un server telefonico che un vettore funziona senza fingere qualsiasi altro abbinamento è stato considerato. Il test è stato messo a punto dal modo in cui le guardie del repository sono destinate ad essere: il controllo è stato disabilitato di proposito e il test lo ha chiamato.