O proxy de imagem passa os cabeçalhos de download e sandbox do MediaService através
O MediaService agora serve qualquer anexo fora de sua lista segura raster/áudio/vídeo (SVG, HTML, PDF...) com Conteúdo-Disposição: anexo, X-Content-Type-Options...
Requer uma sessão *** válida nos terminais de condutas não autenticados
POST /convert-vector e WS /ws/pipeline não tomou nenhuma autorização – 4820f44 tamanho de upload tampado e concorrência de conversão, mas deixou o buraco em abe...
Quebrar uma dependência circular de feijão o STOMP live-session guard introduzido
sessionAccessGuard do d47b471 no WebSocketConfig caiu a cada pod: Spring deve construir totalmente WebSocketConfig (a **************************** cada campo @A...
Apenas o proprietário de uma organização pode mudar quem paga por caixas de correio ou extensões
**************************** E não tinha autorização. verificar em tudo — qualquer membro da organização, não só seu proprietário, poderia mover todo o o correi...
Guardar SUBSCRIBE STOMP para mensagens ao vivo de uma sessão e sinalização WebRTC
/topic/chat/session/{guid} e /topic/webrtc/session/{guid} não foram vigiados em tudo: qualquer soquete autenticado poderia SUBSCRIBE para outra sessão ao vivo m...
Largue o bypass de verificação TLS amplo do processo
NODE TLS REJECT UNAUTHORIZED: "0" no k8s/configmap.yaml feito cada chamada TLS de saída do lado do servidor neste processo — para qualquer máquina, para qualque...
Pare de registrar tokens de sessão, cookies e conteúdo de mensagem
Um grep para a forma de dois criminosos conhecidos (texto de mensagem de bate-papo e lista de bate-papo previews going to console.log) apareceu um padrão muito ...
Rejeitar envios não autenticados antes do corpo ser rodado
O envio do anexo de chat, o envio da imagem de relatório de erros de suporte, o encontrar o upload de fundo e os dois proxies de redimensionamento de imagem Con...
Encaminhar assuntoMembro e papel para que o TimecardService possa verificar a propriedade do soco
**************************** resolveu o papel do chamador contra um CLIENTE assuntoMembro (resolverRole -> EMPLOYEE sempre que ator== assunto) mas nunca encamin...
Os envios de anexos de bate- papo autenticam-se antes do corpo ser rodado
POST /sessions/{guid}/attachments ligou suas partes como um @RequestParam Parâmetro do método MultipartFile[]. A mola resolve os parâmetros do método antes de u...
DocsService não é mais publicado diretamente em docs-api.kamocrm.com
O Docs-api-ingresso IngressRoute enviou a internet diretamente para DocsService, em torno do gateway api (e o seu strip-header de identidade). Nada usou o hospe...
ConversionService não é mais publicado na internet
A conversão-api.kamocrm.com IngressRoute enviou qualquer um na internet para este serviço, onde vários endpoints (/image/resize-bg, /favicon/generate, /convert-...
Strip de cabeçalhos de identidade fornecidos pelo cliente na mídia.* edge
media-route (HostRegexp ^media[.].+$) transportava apenas media-websocket-upgrade, assim um chamador que atinge a mídia. X-Public-Chat-Org-Id, X-Public-Chat-Key...
Leituras em massa de presença e a varredura de presença defasada parar usando Redis KEYS
getBulkPresence/getBulkLastSeen run KEYS PRESENCE:*/PRESENCE LAST SEEN:* em cada chamada - bater em cada presença-socket montagem e tab focus - ea varredura 30s...
Auth nos terminais que podem tomá-lo agora, ffmpeg/Batik endurecimento no resto
ResourceServerConfig permite todos os pedidos (este serviço é acessível anonimamente em Conversion-api.kamocrm.com), e nenhum dos manipuladores do ImageOpsContr...
Dê ao gateway uma solicitação de memória e limite
A implantação não tinha recursos: bloco em tudo. Sem pedido, por isso o o programador não poderia raciocinar sobre a pegada desta cápsula; sem limite, então nad...
Road commission Stripe Connect webhooks, que não alcançou nada
Registos de serviços da Comissão **************************** diretamente com o Stripe (OrgStripeSetupService), mas sem /api/commissions/** o forward existia em...
Esculpir a API interna de SMS-template do VOIPService, e nunca encaminhar X-Internal-Auth de um cliente
Duas lacunas relacionadas no mesmo limite de confiança. /api/voip/sms/templates/** foi enviado por grosso pelo /api/voip/** Wildcard. O arquivo interno do VOIP...
Parar de registrar cabeçalhos de frame STOMP/payloads e cabeçalhos de solicitação /ws
Dois pontos restantes de depuração no caminho WebSocket: - WebSocketConfig interceptor de canal de entrada registrou cada quadro STOMP em INFO, incluindo o ace...
X-Real-IP derivado do salto mais à direita, não do próprio cliente
forward() define o X-Real-IP de saída para X-Forwarded-For.split(",")[0] -- o hop mais esquerdo, que é a parte desse cabeçalho que um cliente controla para: 8.8...
Chamadas ligadas a montante com uma ligação e um tempo- limite de leitura
Ambos os feijões RestTemplate foram construídos a partir de um JdkClientHttpRequestFactory Sem tempo. Um upstream que aceita a conexão e então nunca responde --...
Parar o registro de tokens de sessão, OTKs e cabeçalhos de autenticação em cada solicitação
forward() imprimiu todo o mapa do cabeçalho copiado em cada chamada -- System.out.println("APIService: copyed headers: " + outHeaders) -- que serializa X-***-To...
Comparações secretas internas são tempo constante e falham fechadas
TranscriptionController, RecordingIngestController e RecordingProcessController todos comparados X-Internal-Auth com String.equals (um oráculo de tempo em um se...
Proxy de imagem força um download para qualquer coisa que não é um raster seguro ou um fluxo
GET/HEAD ************* sempre respondeu com o tipo de conteúdo declarado pelo cliente do upload, sem Disposição de Conteúdo, não X-Content-Type-Options e sem CS...
A página de resultados do meet-provider OAuth não pode mais sair de sua própria tag de script
MeetProviderController's GET /oauth/callback não tem sessão e reflete o error description do provedor em um bloco em linha <script>. O antigo jsString () apenas...
As respostas HEAD da mídia do aluno em vez de pendurar
useAttachmentSource sonda com um HEAD após um elemento de mídia falhar, para dizer um arquivo que se foi de uma sessão que terminou. A rota aguardava response.b...
A API do envelope interno falha no fechamento e compara seu segredo em tempo constante
**************************** usado String.equals contra X-Internal-Auth (um lado timing canal em um segredo compartilhado) e, quando esig. interno-auth-secret f...
A API do envelope de pessoal agora requer um direito de documento, e envelopes de RH precisam de um RH
EsignEnvelopeController **************************** verificado org associação apenas — nenhum direito de documento, nenhuma autorização, nada específico de con...
Thread orgId através de cada manipulador de modelo, EDIT DOCUMENTS em escreve
ESignTemplateService's singer/design handlers (getSigners, upsertSigners, reorderSigners, deleteSigner, saveDesign, getLatestDesign, listDesignVersions, getDesi...
Existência de Registo O documento verifica a org do dat, e um modelo pode ser encontrado pelo imgId dentro de um
Duas lacunas de controlo de org a auditoria esig/imaging encontrada, ambos em pontos de entrada partilhados outros serviços baseiam-se: - Está bem. (caminho de...
O convite Hold'em é um tipo que o site conhece: etiqueta, ícone, filtro e mudo
O MediaService levantou notificações HOLDEM INVITE desde o envio do Hold'em, mas o tipo estava faltando aqui: a sobrancelha da torrada imprimiu a chave de tradu...
O membro que causou uma notificação abre o seu cartão a partir dele
"Dana Reyes te entregou", "Sincronização Semanal · Dana Reyes", um cartão de bate-papo não lido cujo corpo é o remetente: EmailService (29cb21e) agora envia act...
Gate adicionando pessoas e movendo uma posição como o servidor faz, e listar cada área de armazenamento
- Os botões Adicionar e Bulk Adicionar em /conta, e as quatro páginas de criação, precisam MANAGEME MEMBERS (MemberAdministrationGate), que o SecurityService ag...
Cinco razões para a imagem dourada nunca ter sido construída
O edifício nunca tinha sido executado. A execução encontrou um erro por tentativa, e o primeiro três cada um teria produzido uma imagem plausível com algo falta...
StatusReasonAdviceTest's alias case também precisa MANAGEM EMAIL ACCOUNTS
Mesmo formato do AliasResponseMemberIsTextTest fix: falta uma sessão compartilhada desta classe à direita, então createAlias's new gate respondeu 403 "MANAGE EM...
Conte as fileiras de talentos não confirmadas de uma org para o boné do formulário anônimo
O endpoint de assinatura de talento público do DocsService envia um e-mail de confirmação em cada chamada aceita, sem limite em quantas linhas ainda não confirm...
UpdateDocType agora requer que o tipo de documento pertença à própria org do documento
ImageService.updateDocType carregou o alvo ImgDocType por UUID sozinho; requireEditable EProduzido prova que o chamador pode editar o Img, mas não diz nada sobr...
Contrapesos de Org para as consultas de candidatos em miniatura
DocsService /backfill-thumbnails administrador final selecionado candidatos de **************************** (plataforma, nenhum predicado de organização) ou, co...
Limpar a versão da imagem tem que enviar "", não null
************* se funde em vez de substituir, e para a imagem uma versão nula significa "deixe o que estiver lá sozinho" — apenas uma string em branco a limpa: ...
Controlos à direita, SSRF/guardas credenciais e correções cruzadas em VOIP
Encontra 2-6 da auditoria telefone-sistema, fixo juntos porque vários arquivos de compartilhamento. 2. HIGH — VoipInstanceController não tinha o direito de ver...
Os arquivos do Growth Hub são relatados em sua própria linha
Isto prende o domínio CRESCIMENTO HUB kamo-shared-library ganho hoje. Antes disso, nenhum domínio As duas associações do Growth Hub, e o passe de imagem deixou ...
A aplicação Notas é "Notas e Listas de Verificação"
O aplicativo Notas possui checklists também desde 2026-09-23 (passos marcados como eles são feitos, um passo que espera até os passos antes de ser terminado, um...
Adicionando pessoas e segurança dos membros precisam de seus direitos
POST /members/create, /create-team-member e /bulk-create, e GET /members/lookup-user, agora require MANAGEM MEMBERS ou uma janela de deus aberta. Verificaram ap...
O convite Hold'em eo lembrete reunião dizer de quem eles são
MembroNotificaçãoClient.raise ganha uma sobrecarga carregando atorMembroId/atorName (o id enviado como texto; a assinatura antiga está inalterada e não envia ne...
Quem causou uma notificação viaja com ele, para que o sino pode atraí-los como um membro
- NotificationRequest ganha actorMemberId/actorName; o construtor antigo permanece para cada produtor que Antes deles. - raise () mantém o par apenas quando amb...
Uma notificação pode dizer de quem é
Notificação de membros ganha ACTOR MEMBER ID (INT8) e ACTOR NAME (255): o membro que o causou - quem você, cujo encontro está começando, que escreveu para você ...
O recurso do plano Notas é "Notas & Listas de Verificação"
O aplicativo Notas detém checklists também desde 2026-09-23 e é chamado "Notas & Checklists" em qualquer lugar que é nomeado. Comparação da página de preços o g...
Os espelhos NOTES dizem "Notas e Listas de Verificação", como o Java faz agora
ServiceType.NOTES é renomeado na biblioteca de kamo-shared, em cópia apenas: o o nome do mostrador é "Notas & Listas de Verificação" e a descrição agora cobre o...
A guia de plataforma e três links que mostraram suas próprias chaves
Dois bugs, ambos relatados no site em execução. AS LINHAS DE CONSTRUÇÃO MOSTRADAS PAÍSES-CHAVE Os três sub-links do computador hospedado carregavam a chave: "c...
Requer GESTÃO DOCS SETTINGS em cada mutação de configurações de documentos, não apenas alguns
A página de configurações sempre enviou um membro sem MANAGEM DOCS SETTINGS, mas dez mutações endpoints em ImagingSettingsController nunca se perguntou: canMana...
Como o que vês no transporte?
Tudo isso chega em seu espaço de trabalho por conta própria. Comece no plano gratuito e leia esta página novamente em um mês.