- Spegnimento
- 23 settembre 2026 alle ore 11:04 UTC
- Autore
- Kamo
- Impegno
- ed228ab
Una grana per la forma di due trasgressori conosciuti (testo messaggio chat e chat-list anteprime andando a console.log) ha presentato un modello molto più ampio attraverso il superficie di sessione/auth e diversi proxy di registrazione dei contenuti: - /api/validate e /api/generate-otk — il rilascio di OTK e il ripristino di OTK percorsi — ha registrato il crudo 64-char OTK, l'URL di richiesta con OTK ancora su come param di query (validate accetta la chiave in quel modo), e 32-char Prefissi della sessione id. - /api/security/roles, ruoli/[id] e ruoli/diritti registrati 32-char *** prefissi su ogni chiamata, e ruoli/route.ts e ruoli/[id]/route.ts anche dumped ogni richiesta header verbatim (mascherare solo Autorizzazione) — che mettere l'intestazione completa e non certificata Cookie e X-***-Token nel log-in ogni POST/PUT/DELETE. - /api/security/org/my-networks ha scaricato ogni intestazione richiesta allo stesso modo. - /api/org/[...domain] ha registrato i primi 200 carboni dell'intestazione del cookie grezzo, un'anteprima del valore 20-char di ogni singolo cookie, e un prefisso 50-char dell'accesso kam at token. - /api/logout e /api/session/info loggato *** prefissi; sessione/info anche loggato `redisKey`, che è `*** <id>` — la sessione completa e non-truncated id — proprio accanto all'anteprima "truncated". - /api/user-info — inquinato ogni 5 minuti da ogni scheda aperta — ha effettuato il login indirizzo e-mail e nome utente accanto al loro id su ogni chiamata, più una fetta di 200-char della sessione grezza JSON blob da Redis. - Contenuto di chat/ticket: corpi POST e payload di risposta contenenti chat testo del messaggio, anteprima della lista di chat, profilo completo di un membro (corpo PUT e risposta), e supporto-ticket testo gratuito (corpo di creazione, commento di valutazione) sono stati registrati. Non era necessario per la diagnostica che questi registri esistono per — ids, lunghezze, presenza/assenza e codici di stato dicono la stessa cosa su cosa è accaduto senza dire quello che è stato detto o consegnare un segreto riproducibile. Ogni registro ora mantiene quella forma; i carichi di risposta reali (che hanno bisogno portare i gettoni come `sessione Id`/`***Id`, `usernameAlias`, `memberEmail` ecc. di nuovo al legittimo chiamante) sono intatti — questo tocca solo ciò viene scritto a console.