- 出荷済み
- 2026年9月23日 2:18 UTC
- プロフィール
- Kamo
- コンテンツ
- 71c6d27
k8s/Docs-deployment.yaml の aliasgroup1 は 'https://api\.*' でした。 Docsのエイリアス・ミキサー (RegexUtil:::get) 値、std:regex match) は、WHOLE 候補の権限の一致だけを要求します。 WHOLE パターンと '.*' は "api" に続くものを吸収します。そのため、この信頼される文字通りです。 インターネット上のドメインは https://api.<anything> を形づけ、所有者が "api" ラベルを置く限り フロント Docs の WSD プロセスは、エイリアスにマッチした WOPI ホストを参照するものです。 server-side なので、信頼できるエイリアスは SSRF の暴露です。冗長チェックは上に配置されていません。 署名されたWOPI JWT(コメントはここで削除され、JWTは「実際のゲート」だったと述べた - それはWHICHを狭く リクエストは、WopiController がこのブランチで初期に固定するのではなく、 ゲートWHICH HOST Docsは、正当なWOPIストレージエンドポイントとして扱われます。 実際のライブテナントホストと置換: api.kamocrm.com とそのサブドメイン (kamocrm.com) カモのドメインは、カモの外に誰も名前のエンディングを作ることができないので、この半分の滞在 新しい *.kamocrm.com orgs が追加され、赤みがない - それはカバー api.demo.kamocrm.com-style per-org デモホスト今日)、org domains 行で union'd root (parent id は NULL ), アクティブ, オーナーシップ verified と ssl confirmed は 2026-09-22 と同じです。 3つの条件OrgApiHosts.verifiedRootDomainは、OAuthコールバックホストを既にゲートしています。 b11capital.com, breakbeat.store, chinilaw.com, harmonyhomeloans.net, kamo.club, makeitpopsigns.com、optionone.com、Sign.pink、tech-life.com。 新しいテスト: DocsAliasHostTest は、デプロイされた YAML 値をテキストとして読みます (same コンベンションとして) ******************** と一致している java.util.regex とコンパイル std:regex match と同じ全弦のセマティクスです。 Mutation-checked: 変換する 'https://api\.*' は、その6つのケースの赤(任意の攻撃ドメイン、ルカライラドメイン)の3を回します。 単に "kamocrm" をサブストリングとして、既知のホストを過ぎた末尾の接尾辞のトリック)。 全く新しいカスタムドメイン(*.kamocrm.comではない)、既知のギャップとして報告されていない subdomain) ライブはまだ、ここで追加された行と赤字 — 同じ制限 古い per-domain aliasgroup1..N リストは、最初にワイルドカードに置き換えられた理由 place (Docs-fork commit b5d260a24e, "Per-domain aliasgroup1.N リストは 4 テナントのみを信頼しました。 api.optionone.com のような新しいテナントは、'unauthorized WOPI ホスト' を得ました。 耐久の修正はどちらかを必要とします Docs の Remote config の fetch は、ライブ、DB バック エンドポイント、または自動化で指しています。 このマニフェストを再生成し、org domains の行が新しく satisfies を行なったときに Docs をロールスロイスします ************************ — この変更に折り畳み込まないように、赤外線作業。 また、 coordinator: org domains は、KamoCRM Inc.が所有する domain='localhost' の行を持っています。 Active+verified+sssl confirmed は、実際のテナントではなく、残された dev/seed のデータのように見える ドメイン; 削除 (この修正のスコープの外側、および org domains のデータの変更はマニュアルが必要です) DDL パス) しかし、一見の価値があります。 フルスイート:731テストグリーン(725、+6新しい).