- Shipped
- 24 กันยายน 2569 เวลา 00:11 UTC
- Author
- Kamo
- Commit
- 0eb2550
/api/login, /api/login/mfa และ /api/session/เลือก ปลูก * * กับ http: False ("client- เข้าใช้สําหรับการตรวจสอบวาระงาน") — แต่ไม่มีรหัสเบราว์เซอร์ในการล็อกอิน * หรือ kamo-internal อ่านค่าใด ๆ เพิ่มเติม; kamo-internal จะบรรจุวาระการใช้งานต่อแท็บ คุกกี้เซสชันที่สามารถอ่านได้ คือ XSS ห่างจาก การขโมยดังนั้นจึงเป็น Http เฉพาะตอนนี้ มันยังทําให้การทํางานออกจากระบบเป็นวัตถุประสงค์: หน้าออกจากระบบ ลบคุกกี้ออกจากสคริปต์ก่อนที่จะเรียก /api/logout, ดังนั้น/api/logout ไม่เคยพบ * to ปิดการใช้งานเซิร์ฟเวอร์วาระงาน; สคริปต์ไม่สามารถลบมันได้ สี่บรรทัดปูมบันทึกพิมพ์ตัวอักษร 32 เฮกซ์ตัวแรกของหมายเลขวาระ (หรือของ OTK) — อักษร พิมพ์ความยาวเดี๋ยวนี้.