로그인에 대한 *** 쿠키.*는 HttpOnly이며 로그 라인은 세션 ID를 반으로 나뉩니다

Shipped

2026년 9월 24일 오전 12:11 UTC

Author

Kamo

Commit

0eb2550

/api/login, /api/login/mfa 및 /api/session/select planted *** 와 httpOnly:false ("client- 세션 체크에 대한 액세스") — 하지만 로그인에 브라우저 코드 없음.* 또는 kamo-internal 모든 것을 읽는다 더; kamo-internal는 탭 당 세션을 나릅니다. 읽을 수 있는 세션 쿠키는 한 XSS가 떨어져 있습니다. 훔친 세션, 그래서 지금 HttpOnly입니다. 로그아웃 작업도 할 수 있습니다: 로그아웃 페이지 스크립트에서 모든 쿠키를 삭제 BEFORE 호출 /api/logout, 그래서 /api/logout 결코 찾을 수 없습니다 *** 에 session server-side; 스크립트는 더 이상 삭제할 수 없습니다. 4개의 로그 라인은 세션 ID (또는 로그인 OTK)의 첫 번째 32 hex 문자를 출력했습니다. 지금 인쇄 길이.