- Shipped
- 24 septembrie 2026 la 00:11 UTC
- Author
- Kamo
- Commit
- 0eb2550
/api/login, /api/login/mfa și /api/session/select plantat *** cu httpOnly:fals ("client- accesibil pentru controale de sesiune") dar nici un cod de browser pe login.* sau kamo-internal citește orice mai mult; kamo-intern poartă sesiunea pe filă. Un cookie de sesiune citibil este un XSS departe de a Sesiune furată, deci este HttpOnly acum. De asemenea, face logout de lucru ca destinat: pagina de logout șterge fiecare cookie din script ÎNAINTE de a apela /api/logout, așa că /api/logout nu a găsit *** invalidează serverul de sesiune; script-ul nu mai poate șterge. Patru linii de jurnal imprimate primele 32 de caractere hex ale unui id sesiune (sau a unui login OTK) Print lungimi acum.