- Shipped
- 2026年9月17日 3:13 UTC
- Author
- Kamo
- Commit
- 08b81d7
メタは、そのURLを信頼したフローを接続します。 お問い合わせ セッションなしのクエリ文字列、state は base64(connectionId|returnUrl) を省略しました。 誰が知っていたのか 接続のUUIDは、OWN Facebookアカウントでフローを実行し、組織のページのトークンを上書きすることができます。 そのため、orgのメッセンジャー/Instagramの受信トレイは攻撃者のページを受け取ります。 returnUrl はオープンリダイレクトだった API ホスト:**************** は、302 から example.invalid (seen ライブ) に回答しました。 どの接続が書かれているか、ブラウザが次の場所にあるかについては、URL から参照してください。 - POST /connect-start(new)は、メンバーのセッションとMANAGE CRM SETTINGSを必要とします。 社会的なつながりのニーズ。 関係は、メンバーの組織に所属しなければなりません(他の組織の回答は、 1 つを欠落させる)と、メッセージエンジンまたはインスタグラムである。 Redis(メンバー、オーガナイザー、コネクション)でシングルユースインテントを保存します。 返し URL OAuthReturnUrlPolicy が承認され、リダイレクト URI のホスト上で { startUrl } に応答します。 - GET /スタート? intent= GETDEL でインテントを償還し、ランダムなシングルユース状態がサーバー側を保持し、 ブラウザ結合クッキー(HttpOnly, Secure, SameSite=Lax, path-scoped; SHA-256のみ保存) 行方不明, ?connectionId= リクエストは 400 ページで、リダイレクトは行いません。 - GET /callback は、GETDEL で状態を償還し、クッキーをクリアし、その1つではないブラウザを拒否します。 開始し、メンバーがまだ資格があり、まだ接続の組織に残っていることを再確認し、 保存された戻り URL にのみリダイレクトします。 ページトークン交換自体は変更されません。 OAuthReturnUrlPolicy は、この組織のメンバーが使用しているコンソールの起源のパスで https の URL を受け付けます。 ライブドメイン、各組織は、OrgLinkHostsが選択したセキュリティ・プロバイダー・チェーン、プラットフォームの)、および パースされた部分から再構築します。他のものは、オーガのコンソールと画面のパスになります。 kamo-internal の connect-start 船を呼び出す設定画面が変わります。 古いボタンをデプロイするまで 既に行った方法に失敗: コンソールホストの /api/media/... にナビゲートし、そのようなルートがない。 テスト: MetaOAuthControllerTest は、WOULD がページを接続する Graph API で MockMvc を介してフローを移動します。 refusal はチェックの実行です。 クッキーチェック、適格性再チェック、orgチェック、またはシングルユースを無効にする 各テストに失敗します。 OAuthReturnUrlPolicyTest ピンは URL を受け付け、拒否しました。 フルスイート: 953 テスト、0 失敗.