- Shipped
- 3 de setembro de 2026 às 18:35 UTC
- Author
- Kamo
- Commit
- 0b36209
Encontrado por sondar o endpoint implantado, não por lê-lo. Retornando false de um aperto de mão Interceptor aborta o aperto de mão, mas não coloca nada na resposta, então Todas as recusas — sem bilhete, bilhete falsificado, origem cruzada — foram descartadas 200 com um corpo vazio. Nenhuma tomada foi estabelecida e nada foi deixado através, mas de fora uma recusa era indistinguível do sucesso, e qualquer coisa que monitorizasse este endpoint teria lido um como outro. Agora 401 para um bilhete que está ausente, forjado, gasto ou expirado, e 403 para um origem que não é o hospedeiro a ser abordado. A razão permanece vaga de propósito: dizendo um ticket desconhecido para além de um gasto é como você sonda para o qual As fichas existiam. Nove testes sobre o portão, incluindo os dois que mais importam – um ponto transversal Aperto de mão é recusado ANTES do ticket ser visto, então um ticket válido é apresentado de outra origem não é gasto e ainda está lá para o próprio navegador do membro; e o cliente não pode nomear uma conta ou uma sessão no entanto ele decora o string de consulta, porque ambos vêm do ticket.