- Spegnimento
- 5 agosto 2026 alle ore 01:57 UTC
- Autore
- kamo
- Impegno
- 7e546ee
Mail nel pannello di lettura apre ogni link in una nuova scheda, che è giusto per il internet intero e sbagliato per noi. Le nostre email di notifica sono quasi interamente link di nuovo nell'app, e l'invio a una scheda fresca butta via la sessione membro già ha e li fa sedere attraverso un avvio freddo per raggiungere una pagina questa scheda potrebbe rendere immediatamente. Stessa origine è l'intero test — byte-equal con la pagina che rende l'e-mail, non "si sente come un dominio Kamo" e non un suffisso sul dominio dell'org. Questo è esattamente il set di URL la sessione corrente è valida per, che è l'intero ragione di rimanere in questa scheda, ed è in-spoofable per posta: ospite di un altro inquilino, un lookalike, o userinfo che indica l'host altrove sono tutte origini diverse e Vai a una nuova scheda come qualsiasi altro estraneo. Routing piuttosto che assegnare la posizione: un documento pieno carico lacrime giù il React albero e distrugge ogni finestra di strumento aperto insieme a qualsiasi progetto insente, motivo per cui questo repo ha un cancello di costruzione contro la navigazione interna dura. Modificato e medio clic sono lasciati soli — quel gesto è l'utente che chiede deliberatamente una nuova scheda. Ascoltare dal genitore funziona perché la sandbox già mantiene consent-same-origin per la misurazione dell'altezza durante l'omissione di permessi-scritti, quindi niente dall'e-mail si corre sempre; il gestore è nostro, attaccato dall'esterno. Una trappola che vale la pena di registrare, catturata dal proprio test: restituire un percorso piuttosto che un URL è necessario ma NON sufficiente. "https://host//evil.test" è veramente stesso orientamento, e il suo nome di percorso è "//evil.test" — che il router legge come protocollo-relativo e segue off-site. Un reindirizzamento aperto e-mail che passa un controllo di origine. Tale collegamento ora passa a una nuova scheda, dove il browser risolve il reale, innocuo URL, piuttosto che essere silenziosamente riscritto da qualche parte l'e-mail non ha indicato.