- Shipped
- 24 września 2026 00:11 UTC
- Author
- Kamo
- Commit
- 0eb2550
/ api / login, / api / login / mfa i / api / session / select said * * z httpOnly: false ("klient - dostępne do kontroli sesji ") - ale nie ma kodu przeglądarki przy logowaniu. * lub kamo- wewnętrzny odczytuje go jakiekolwiek more; kamo-internal przenosi sesję na zakładkę. Czytelny plik cookie sesji jest jeden XSS od skradziona sesja, więc teraz jest HttpOnly. To również sprawia, że wylogowanie działa zgodnie z przeznaczeniem: strona wylogowania usuwa wszystkie pliki cookie ze skryptu przed wywołaniem / api / logout, więc / api / logout nigdy nie znaleziono * * * unieważnić server- side sesji; skrypt nie może już go usunąć. Cztery wiersze dziennika wydrukowały pierwsze 32 znaki hex identyfikatora sesji (lub logowania OTK) - one Teraz drukuj długości.