- Shipped
- 17 septembrie 2026 la 03:13 UTC
- Author
- Kamo
- Commit
- 29369e3
Discord DMS ajung la MediaService numai prin intermediul WebSocket DisordGatewayManager, care publică direct la Social.inbound.raw. Dar fiecare conexiune socială are un semn webhook, și SocialInboundController verifică un post la /api/social/webhook/{token} cu oricare adaptor din numele de conectare ale jetonului. DiscordAdapter.Verifică Webhook răspuns adevărat, pe presupunerea că nu a fost niciodată numit. Deci, oricine deține o conexiune discord lui webhook token ar putea posta un MESAJE CREATE și să-l ingerat ca un DM, creând o conversație și un plumb sub orice Numele. Nu există nici o semnătură pentru a verifica: Discord nu trimite niciodată o cerere pe această cale (its Ed25519-semnate Interactions Obiectivul final este o caracteristică diferită pe care acest adaptor nu o aplică). Deci, verificaWebhook refuză acum, și un post pentru o conexiune Discord este un 403 înainte de orice este autentificat sau publicat. Calea Gateway este neatinsă. SocialInboundDiscordWebhookTest posteaza un DM falsificat prin controler cu adaptorul real: 403, nimic logat, nimic publicat. Un furnizor al cărui adaptor verifică încă trece prin același obiectiv. Cu vechiul Returnează adevărat primul test eşuează.