- Spegnimento
- 6 agosto 2026 alle ore 17:44 UTC
- Autore
- Kamo
- Impegno
- 860ea93
OTKAuthFilter bypassa solo /actuatore, /api/esig/pubblico e /api/esig/internal, così questo prefisso è dietro il personale OTK auth con orgId/memberId già sul richiesta. Il destinatario non è mai una variabile di percorso: viene risolto abbinando EsignEnvelopeRecipient.memberId al membro OTK id, quindi non esiste un parametro membro può cambiare per raggiungere la fila di un collega. Non-fondato, non-your-org e Non su questa pista tutti rispondono a un 404 identico. No /delegate — consegna un documento di conformità a un'e-mail esterna arbitraria senza approvazione e nessuna bandiera disabilitata; esclusa per omissione, non per bandiera. No. /decoder e no /stepup o: decoder-scoped del destinatario appartiene al vuoto delle risorse umane percorso, e passo-up è messo in chiave su una sessione di segnale Redis questa superficie non ha. signerIpAddress proviene da un RIGHT-to-LEFT X-Forwarded-Per una passeggiata. EsignPublicController.clientIp legge da sinistra a destra, che è controllato dal cliente e quindi spoofable, e quel valore atterra su un campo di prova.