- Expediere
- 23 septembrie 2026 la 02:18 UTC
- Autor
- Kamo
- Comite
- 71c6d27
aliasul k8s/Docs.yaml1 a fost "https://api\..*." Numele fals al lui Docs. (RegexUtil::get Valoare, std::regex match) necesită doar ca autoritatea candidată să se potrivească cu întreaga modelul WHOLDLE, și '.*' absoarbe orice urmează "api." domeniu pe internet format https://api.<anything>, atâta timp cât proprietarul său a pus o etichetă "api." În faţă. Procesul lui Docs WSD este cel care dereferințe o gazdă WOPI alias-matched server-side, astfel încât un alias de încredere este expunerea SSRF, nu un cec redundant așezat pe partea de sus a semnat WOPI JWT (comentariul eliminat aici a spus că JWT a fost "poarta reală" document/membru o cerere acționează ca, pe fix WopiController mai devreme în această ramură, dar niciodată Poartă care HOST Medicii ar trata ca un obiectiv legitim de stocare WOPI). Înlocuit cu gazde reale chiriaș live: api.kamocrm.com și orice subdomeniu al acestuia (kamocrm.com este domeniul lui Kamo, nimeni din afara Kamo nu poate crea un nume care se termină în el, aşa că această jumătate rămâne corect ca noi *.kamocrm.com orgs sunt adăugate, cu nici o replay-ul api.demo.kamocrm.com-stil per-org demo gazde astăzi), uniune'd cu org domenii rânduri care sunt rădăcină (parent id IS NULL), activă, proprietate verified ȘI ssl confirmat începând cu 2026-09-22 trei conditii OrgApiHosts.verifiedRootDomain deja poarta OAuth callback gazde pe: b11capital.com, breakbeat.store, chinilaw.com, harmonyhomeloans.net, kamo.club, makeitpopsigns.com, optionone.com, sign.pink, tech-life.com. Test nou: DocsAliasHostTest, citirea valorii YAML utilizate ca text (aceeași convenție ca *************** și compilarea cu java.util.regex, a cărui Matcher#matches are aceleași semantice întregi ca și std::regex match. Verificarea mutaţiei: revenirea la "https://api\..*" se transformă în 3 din cele 6 cazuri de culoare roșie (domeniul arbitrar al atacatorului, un domeniu asemănător aspectului care conține pur și simplu "kamocrm" ca un substring, și un truc de urmărire-suffix trecut o gazdă cunoscută). NU UN FIX FULL, raportat ca un decalaj cunoscut: un domeniu cu totul nou personalizat (nu a *.kamocrm.com subdomeniu) merge în direct încă mai are nevoie de o linie adăugată aici și o reatribuire pe-main aliasgroup1..N lista a avut, și motivul pentru care a fost înlocuit cu wildcard în primul locul (Docs-furca comite b5d260a24e, "Per-main aliasgroup1..N lista de încredere numai 4 chiriași; noi chiriași, cum ar fi api.optionone.com primit "gazda WOPI neautorizat""). O necesitate de fixare durabilă, fie Remote config aduce indicat la un obiectiv live, DB-backed, sau o automatizare care regenerează acest manifest și se rostogolește Docs ori de câte ori un rând org domenii nou satisface ********************* munca infraroşu, nu împăturită în această schimbare. De asemenea, notate pentru coordonatorul: org domenii are un rând pentru domeniu="host local" deținut de KamoCRM Inc. în sine; activ+verified+ssl confirmat, care arată ca datele rămase dev/seed decât ca un chiriaș real domeniu; lăsat neatins (în afara domeniului de aplicare pentru acest fix, și schimbarea org domeniilor de date necesită manualul DDL cale) dar merită o privire. Apartament complet: 731 teste verzi (a fost 725; +6 noi).