- Shipped
- 23 września 2026 11:04 UTC
- Author
- Kamo
- Commit
- ed228ab
Grep dla kształtu dwóch znanych przestępców (miat wiadomości tekstowych i listy chat Podglądy przechodzące na console.log) pojawiły się o wiele szerszy wzór w całym świecie Powierzchnia sesji/auty i kilka pełnomocników przenoszących zawartość: - /api/validate i /api/generate-otk — OTK-umisja i OTK-redeeming Trasy — zarejestrowano surowy 64-char OTK, adres URL żądania z OTK nadal Jest to jako param zapytania (validate akceptuje klucz w ten sposób) i 32-char Przedrostki sesji id. - /api/bezpieczeństwo/role, role/[id] i role/prawy zanotowane 32-char ? Prefiksy na każdym wywołaniu, a role/route.ts i role/[id]/route.ts również Porzucił każdy nagłówek z prośbą dosłownie (zatwienie tylko autoryzacji) — które Włóż pełny, nieoprawy Cookie i X-a-Token nagłówek w logowaniu Każdy POST/PUT/DELETE. - /api/security/org/my-networks zrzucił każdy nagłówek żądania w ten sam sposób. - /api/org/[...domain] zarejestrował pierwsze 200 znaków surowego nagłówka ciastek, Podgląd 20-char wartości każdego pojedynczego pliku cookie i 50-wałowy prefiks Z kam_at access token. - /api/logout i /api/session/session/info zalogowane ? prefiksy; session/info również Zaloguj się: RedisKey, czyli "id"> — pełna, nieoprawniona sesja Id — tuż obok "oszalonego" podglądu. - /api/user-info — ankietowane co 5 minut przez każdą otwartą zakładkę — zarejestrowano Adres e-mail członka i nazwa użytkownika wraz z ich id podczas każdego połączenia, plus 200-łkowy kawałek surowej sesji Blob JSON z Redis. - Zawartość czatu/biletu: POST body i ładunki odpowiedzi zawierające chat Wiadomość tekst, podgląd listy czatów, pełny profil użytkownika (Ciało PUT i Odpowiedź) i tekst free-plus (osoba rezygnacyjna, komentarz ratingowy) Zostały zarejestrowane w całości. Nic z tego nie było konieczne do diagnostyki, dla której istnieją te dzienniki dla - ids, Długość, obecność / nieobecność i kody statusu mówią to samo o tym, co Stało się nie mówiąc o tym, co zostało powiedziane lub rozdania powtórnego sekretu. Każdy dziennik zachowuje teraz ten kształt; rzeczywista płatność odpowiedzi (które muszą być potrzebne przewożąc żetony, takie jak ?sessionId?/?Id, ’usernameAlias’, „memberEmail” I. z powrotem do uprawnionego dzwoniciela) są nietknięte – to tylko dotyka tego, co Jest pisany na konsolę.