- Szycy
- 23 września 2026 02:18 UTC
- Autor
- Kamo
- Pochęt się
- 71c6d27
k8s/Docs-deployment.yaml's aliasgroup1 to 'https://api'..'. Docs's alias matcher (RegexDopóki:getValue, std::regex_match) wymaga tylko, aby pasował autorytet kandydujący WHOLE WSZY. Wzór, i „.” absorbuje to, co następuje po "api." - więc to ufało dosłownie każdemu Domena w Internecie w kształcie https://api. Z przodu. Proces WSD Docs jest tym, który odnosi się do pseudonimu gospodarza WOPI Po stronie serwera, więc zaufanym aliasem jest ekspozycja na SSRF, a nie zbędny czek siedzący na górze Podpisany WOPI JWT (komentarz usunięty tutaj powiedział, że JWT jest "prawdziwą bramą" - zwęża się, które Dokument/członk wniosku działa tak, jak, zgodnie z poprawką WopiController wcześniej w tej gałęzi, ale nigdy Ognia, który HOST Docs potraktowałby jako legalny punkt końcowy WOPI). Zastąpiony przez rzeczywistych żywych dzierżawców: api.kamormm.com i dowolną jego subdonącą (kamocrmm.com Jest domeną Kamo - nikt poza Kamo nie może stworzyć nazwy, która się w niej kończy, więc ta połowa pozostaje Dodano nowe, a nowe orgs.amocrm.com, bez przesunięć — to jest to, co obejmuje api.demo.kamorm.com-stylowe-dobie-graje dziś), związkiem z rzędami org_domains, które są root (rodzica_id IS NULL), aktywny, własności_verified AND ssl_confirmed of 2026-09-22 — taki sam Trzy warunki OrgApiHosts.verifiedRootDomain już bramy OAuth callback hosts: b11capital.com, breakbeat.store, chinilaw.com, harmonyhomeloans.net, kamo.club, makeitpopsigns.com, optionone.com, sign.pink, tech-life.com. Nowy test: DocsAliasHostTest, odczytując wdrożoną wartość YAML jako tekst (ta sama konwencja jako - i kompilowanie go za pomocą java.util.regex, którego Matcher-matches ma Tę samą semantykę całego strun, co std::regex_match. Sprawdzone mutacje: powraca do 'https://api..' kończy 3 z 6 przypadków czerwonych (katalog domena atakująca, domena podobna do wyglądu, która Zawiera tylko "kamokram" jako podciąg, a ciąg i sztuczkę wątków za kulisami obok znanego gospodarza). NIE pełny FIX, zgłoszony jako znana luka: zupełnie nowa domena zwyczajna (nie a .kamocrm.com Subdoena) przejście na życie nadal wymaga linii dodanej tutaj i przesunięcia – to samo ograniczenie starego Lista aliasgroup1..N miała, a powód, dla którego została ona zastąpiona dziką kartą w pierwszej (Docs-fork commit b5d260a24e, "Per-domain aliasgroup1..N tylko zaufanych 4 najemców; Nowi najemcy, tacy jak api.optionone.com, otrzymali "nieautoryzowanego gospodarza WOPI"). Trwała moc wymaga również Docs- remote_config fetch wskazał na żywy, wspierany przez DB punkt końcowy lub automatyzację, która Regeneruje ten manifest i zwija Docs, gdy wybieg org_domens nowo spełnia się - praca na podczerwienie, nie złożona w tę zmianę. Również odnotowany z powodu koordynator: org_domains ma wiersz dla domeny'localhost' należącej do samej KamoCRM Inc., Aktywny + sprawdzony +ssl_confirmed, który wygląda jak resztki danych dev/nasieci, a nie prawdziwy najemca Domena; pozostawiona nietknięta (z zakresu tej poprawki i zmiana danych org_domains wymaga instrukcji obsługi DDL ścieżka), ale warto spojrzeć. Pełny pakiet: 731 testów zielonych (było 725; +6 nowy).