- Ya
- 23 Septemba 2026, 08:37 UTC
- Mwandishi
- Kamo
- Ahadi ya
- 133a70d
CareersPublicController's POST / {orgRef} /alerts ni moja bila kujulikana, unauthenticated endpoint katika huduma hii ambayo inatuma barua pepe kwenye kila wito uliokubaliwa, bila chochote kinachozidi mara ngapi: mpiga simu anaweza kutuma kiungo cha uthibitisho kwa anwani yoyote, mara kwa mara, kwa kiwango chochote - unyanyasaji wa Inbox halisi, au hatari ya kutumia / kurejesha kwenye uwanja wa kutuma wa jukwaa mwenyewe. Ongeza CareersAlertThrottle (Redis-backed; kila utawala ni dirisha la wakati, hivyo hakuna mabadiliko ya schema): katika Zaidi ya uthibitisho mmoja kwa saa kwa anwani, hakuna mwisho wakati 24h unconfirmed-pending dirisha ni Jaribu, na jaribio la chanzo cha IP. Pia, ni kiasi gani cha mbegu ambazo hazijathibitishwa zinaweza kuhifadhiwa Mara moja, hivyo mafuriko ya anwani mpya ya brand haiwezi kukua meza bila kufungwa. Kila majibu ya ukaguzi Na badala ya kukaa kimya (kujiunga) bado inarudi 202) badala ya kufuta kosa la kutofautisha. Kulingana na utawala uliopo wa mwisho kwamba mpiga simu wa umma lazima kamwe kuwa na uwezo wa kusema "kupigwa" Mbali na "sent", ambayo yenyewe itakuwa neno kwa "je, anwani hii ipo". Ufunguo wa per-IP umetatuliwa kupitia LegalClientIp.resolve (haki zaidi ya PUBLIC X-Forwarded-For hop), si ***** mtindo wa kushoto-most-hop kusoma kutumika kwa ajili ya ukaguzi trails mahali pengine katika huduma hii: hop ya kushoto zaidi ni moja ambayo CLIENT anaandika, hivyo keying throttle juu ya Itakuwa kuruhusu mshambuliaji kushindwa kwa per-IP cap tu kwa kutuma thamani tofauti kwa kila mmoja. maombi. wa kisheria Ip mwenyewe darasa Javadoc nyaraka hasa hali hii kushindwa kwa Hii ni kesi ya wazi; inatumika tu kama moja kwa moja hapa.