- Порезанный
- 23 сентября 2026 г. в 02:18 UTC
- Автор
- Kamo
- Обещать
- 71c6d27
k8s/Docs-deployment.yaml's aliasgroup1 был "https://api\..*". Подборщик псевдонимов Докса (RegexUtil:get: Значение, std::regex match) требует только соответствия всех полномочий кандидата. Вся модель, и '.*' поглощает все, что следует за 'api' - так что это доверяло буквально любому. домен в Интернете в форме https://api.<anything>, если его владелец помещает ярлык «api». впереди. Процесс WSD Docs - это тот, который ссылается на хозяина WOPI, соответствующего псевдониму на стороне сервера, поэтому надежным псевдонимом является экспозиция SSRF, а не избыточная проверка, сидящая поверх WOPI JWT (комментарий, удаленный здесь, сказал, что JWT был «настоящими воротами» — он сужает ЧТО). документ/член запроса действует как, согласно исправлению WopiController ранее в этом отделении, но никогда Скриншоты WHICH HOST Документы будут рассматриваться как законная конечная точка хранения WOPI. Заменены фактические живые хосты арендаторов: api.kamocrm.com и любой его поддомен (kamocrm.com) Это собственный домен Камо — никто за пределами Камо не может создать имя, заканчивающееся на нем, поэтому эта половина остается. правильно, как новые *.kamocrm.com организации добавляются, без передислокации - это то, что охватывает api.demo.kamocrm.com-стиль демо-хостов per-org сегодня, объединенный с строками доменов org domains, которые root (parent id IS NULL), active, ownership verified AND ssl confirmed as of 2026-09-22 — тот же Три условия OrgApiHosts.verifiedRootDomain уже закрывает хосты обратного вызова OAuth: b11capital.com, breakbeat.store, chinilaw.com, harmonyhomeloans.net, kamo.club, makeitpopsigns.com, optionone.com, sign.pink, tech-life.com. Новый тест: DocsAliasHostTest, считывающий развернутое значение YAML в виде текста **************** и компиляции его с java.util.regex, чьи Матчер #матчи имеет Семантика всей струны, такая же, как у std::regex match. Проверка мутаций: возвращение к «https://api\..*» становится 3 из 6 случаев красным (произвольный домен злоумышленника, похожий на домен, который не имеет аналогов). Он просто содержит «камокром» в качестве подстроки и трюк с суффиксом мимо известного хоста. НЕ ПОЛНЫЙ ФИКС, сообщенный как известный пробел: совершенно новый пользовательский домен (не a *.kamocrm.com) subdomain) going live still needs a line add here and a redeploy — the same limit the old (недоступная ссылка). Список aliasgroup1..N был, и причина, по которой он был заменен на wildcard в первом списке. место (Docs-fork commit b5d260a24e, "Per-domain aliasgroup1..N list only trusted 4 tenants; Новые арендаторы, такие как api.optionone.com, получили «несанкционированный хозяин WOPI». Долгосрочное решение также требует Удаленный config fetch Docs указывает на конечную точку с поддержкой DB или автоматизацию, которая Восстанавливает этот манифест и переворачивает Docs всякий раз, когда строка org domains вновь удовлетворяет **************** — инфра-работа, не вложенная в это изменение. Также отмечается Координатор: org domains имеет строку для домена = 'localhost', принадлежащего самой KamoCRM Inc. Active+verified+ssl confirmed, который выглядит как остаточные данные, а не реальный арендатор домен; оставленный нетронутым (вне возможности для этого исправления и изменения данных о доменах org domains требуется руководство) Путь DDL), но стоит посмотреть. Полный комплект: 731 тест зеленый (был 725; +6 новый).