- Порезанный
- 24 августа 2026 г. в 21:40 UTC
- Автор
- Kamo
- Обещать
- ee0a8e5
Охранник читает идентификатор хост-орга с /"id"\s*:\s*(\d+)/ - голой цифрой Прямо после толстой кишки. Служба безопасности JsSafeLongSerializer пишет любые Длинно выше 2^53 в качестве JSON STRING, и каждый идентификатор организации здесь 19-значный. Уникальный rowid() около 1,17e18, поэтому идентификатор всегда прибывает цитируемым и Образец не совпадал ни с чем. Таким образом, hostOrgIdStr всегда был нулевым. Сравнение стояло позади «если (hostOrgIdStr & & ...)», поэтому оно никогда не запускалось. Тот единственный Перекрестная проверка на этом маршруте была инертной. Три изменения: Примите цитируемый идентификатор, поэтому сравнение происходит вообще. Не удается закрыться, когда хост-орг не может быть решен. Ранее оно продолжалось "сохранить текущее поведение", что сделало чек пропускаемым чем угодно Это может привести к провалу поиска. Отказ от стоимости реального входа; продолжение Это стоит неправильных прав организации. Пропустите сравнение полностью на собственном хосте платформы. Теперь этот хозяин Он служит каждой организации без своего собственного домена, поэтому решение его дает KamoCRM Inc. и сессия для любой другой организации будут выглядеть как несоответствие. Отказаться именно от подписи в этой работе можно. Там подписанный сессия называет организацию и является органом власти; хозяин, который называет одну Арендатор должен с этим согласиться.