- Enviado
- 24 de setembro de 2026 às 00:11 UTC
- Autor
- Kamo
- Confirmação
- 0eb2550
/api/login, /api/login/mfa e /api/session/select plant *** com httpOnly:false ("client- acessível para verificação de sessão") — mas nenhum código do navegador no login.* ou kamo-internal lê-lo qualquer mais; o kamo- interno carrega a sessão por página. Um cookie de sessão legível está a um XSS de distância de um sessão roubada, então é HttpSomente agora. Também faz o trabalho de logout como pretendido: a página de logout apaga cada cookie do script ANTES de chamar /api/logout, então /api/logout nunca encontrou *** para invalidar o servidor de sessão; o script não pode mais removê- lo. Quatro linhas de log imprimiram os primeiros 32 caracteres hex de uma sessão id (ou de um login OTK) — eles Imprime os comprimentos agora.