- Порезанный
- 23 сентября 2026 г. в 10:24 UTC
- Автор
- Kamo
- Обещать
- 8950a17
Два пробела в одной и той же границе доверия. /api/voip/sms/templates/** пересылается оптом по адресу /api/voip/** Дикая карта. VOIPService's InternalAuthFilter Guards, что префикс (и) /api/bulktext/send) с общим секретом X-Internal-Auth SmsTemplateService доверяет идентификатору организации, переносимому в орган запроса один раз Эта проверка проходит - больше нет проверки на одного арендатора. Это сделало Внутренний только поверхностный доступ в Интернет, с одним общим секретом Единственное, что стоит между незнакомцем и SMS каждого арендатора шаблоны. Добавлено картографирование резьбы, тот же механизм, который уже используется для /api/voip/calls/** and /api/voip/recordings/** above it: more specific чем дикая карта, поэтому она выигрывает независимо от порядка объявления, и 404 вместо пересылки. Камо-внутренний ничего под этим не называет Путь сегодня (подтвержденный против происхождения/основного), поэтому ничего законного не используется Это ворота, чтобы добраться до него. Отдельно: InboundHeaders никогда не снимали X-Internal-Auth, поэтому клиент Тот, кто угадал или слил общий секрет, может проехать его вперед. forwardWebhook() или forwardCallback() прямо мимо любого сервиса Внутренний фильтр был на другом конце. Добавлено в IDENTITY HEADERS - утверждает привилегию ("я доверяю внутренней инфраструктуре") Так же, как существующие записи утверждают личность, и отказ от нее безопасен. строительство: каждый контроллер в этой службе, который законно действует в качестве внутреннего абонента (PublicChatController, PublicApiController, SocialWebhookController, VoipRecordingUploadController VoipCallEventController, PublicChatKeyResolver) строит свой внешний Заголовки с нуля и устанавливает собственный секрет этой службы - Ни один из них не вызывает InboundHeaders.copyInto, поэтому никто не пострадал. Это Вход шире, чем промежуточное ПО Traefik для заголовков полосок, которое Но и на этом не стоит обращать внимание, так как в этом есть смысл. Кластерсервисы вместо того, чтобы гадать на перекрестных изменениях. VoipSmsTemplatesCarveOutTest охватывает отображение и его поведение 404. Идентификационный руководитель Стриппинг Существующая подделка запроса теста теперь также Отправляет угадываемый X-Internal-Auth по каждому делу, которое он уже ведет. права, объемный текст webhook, обратный вызов OAuth, так что это Они охватывают все виды упражнений, а не только новые. Восстановление любого изменения немедленно не позволяет выполнить соответствующий тест.