- Shipped
- 24 settembre 2026 alle ore 00:11 UTC
- Author
- Kamo
- Commit
- 0eb2550
/api/login, /api/login/mfa e /api/session/select piantati *** con httpOnly:false ("client- accessibile per i controlli di sessione") — ma nessun codice del browser sul login.* o kamo-internal lo legge qualsiasi più; kamo-internal porta la sessione per scheda. Un cookie di sessione leggibile è uno XSS lontano da un sessione rubata, quindi è HttpOnly ora. Fa anche il lavoro di logout come previsto: la pagina logout cancella ogni cookie dallo script PRIMA chiama /api/logout, quindi /api/logout non ha mai trovato *** per invalidare il lato server di sessione; lo script non può più cancellarlo. Quattro linee di log stampate i primi 32 caratteri di esade di una sessione id (o di un OTK di login) — essi stampare le lunghezze.