- Shipped
- 7 august 2026 la 05:02 UTC
- Author
- Kamo
- Commit
- 21670e5
Poarta a încetat să mai codeze coardele de interogare în 3c24d32, dar patru alte proxy-uri în acest serviciu încă concatenizate deja-procent codificate bytes într-o coardă și a predat-o la RestTemplate lui String supraîncărcare, care tratează ca un șablon URI și îl codifică a doua oară:% 2C a rămas ca% 252C, în amonte a decodat o dată şi a primit semnul literal A%2CB. Acestea sunt toate suprafeţele publice, astfel încât eşecurile sunt tăcute şi aterizează în afara companie: - /api/public/esign/** Filtrul a ajuns la ESigService ca un jeton. - /api/public/webinar /** - /api/social/webhook/{token} Sfoara. Un simbol Meta verifică care conține un spațiu comparat inegal în aval Si MediaService a raspuns 200-gol, asa ca Meta a renuntat la abonament; X's Croc token este HMAC'd verbatim, astfel încât unul mutilat dereglează webhook. Seif de schimbat: X-hub-semnătura Meta-256 și semnătura X sunt ambele HMAC peste corpul brut (MessengerAdaptator:110, InstagramAdaptator:114, XAdaptator:151); care este înaintat ca un octet neatins[]. Nicio semnătură nu acoperă URL-ul. - /api/public-chat/** Ajutorul se mută din APIGATEwayController în UpstreamUri deci patru clase împărtășește o ramură parse-and-fall-back în loc de patru copii. Un URL care URI.creează rebuturi (spaţiu brut, doar din cauza celui de-al doilea cod) merge încă pe calea veche String cu un Warn, traficul atât de malformat se comportă exact aşa cum a făcut-o. Discuţiile publice aveau nevoie de un al doilea punct de intrare, mai degrabă decât de poarta de acces. Calea ei este construit de la @PathVariables că Primăvara a deja DECODED în timp ce interogarea este crud, aşa că am împachetat URL-ul concatenat în URI. crearea ar fi fost o regresie: un semn de sesiune care ajunge ca abc%23xyz decodează la abc#xyz, care URI.creează acceptă în timp ce în tăcere trunchiarea calea la fragment. ă Jumatatile sunt tinute departe de site-ul de apel UriComponentsBuilder apel ImplicitUriBuilderFactory makes, so these bytes are neschimbată; interogarea lăsată singură. Cei şapte supervizori fără interogare păstrează String cale neatinsă: fără interogare, fără cod dublu de reparat. Deliberat NU sa schimbat, și ei trebuie să rămână în acest fel Astăzi, așa că "fixarea" le-ar 502 trafic live: abonament-catalog (splices a DECODED @RequestParam locale), subscription-promotions (fixed literal), Validay-cheie în ************* (SHA-256, hex, un punct fix sub URI COMPONENT), LeadIntake PublicController (Decoded UUID trail variable, never calls getQueryString), the VOIP recording ingerare POST (config literal, toate intrările în corpul multipart); și CapchaVerificationService (plata este în corpul JSON).