- Змішані
- 23 вересня 2026 р. о 02:18 UTC
- Авторизація
- Kamo
- Про нас
- 71c6d27
k8s/Docs-deployment.yaml's aliasgroup1 був 'https://api\.*'. Docs's alias матчер (RegexUtil::get Значення, std::regex match) вимагає лише того, що матч кандидата ВООЗУ ОПІП, і '.*' вбирає все, що випливає "api." — так що це довірено буквально будь-який домен в інтернет-виданню https://api.<anything>, до тих пір, поки його власник поставив етикетку "api". передній. Процес WSD Docs - це той, що відрізняє алюс-матдований WOPI Сервер-за межами, так що довірені псевдоніми SSRF не є надмірною перевіркою сидячи зверху підписаний WOPI JWT (комент, знятий тут, сказав JWT, був "справжнє ворота" — він звужує WHICH документ/пам'ятіть дії запиту, за допомогою WopiController фіксуйте раніше в цій галузі, але ніколи не Бригадир ВХИЧ ХОСТ Документи будуть розглядатися як законна кінцева точка WOPI. Замінюється з фактичними живими тенантними хостами: api.kamocrm.com і будь-який піддомен (kamocrm.com є власний домен Камо — ніхто не за межі Камо може створити закінчення назви, тому ця половина залишається виправлено як новий *.kamocrm.com orgs додано, без redeploy — це те, що охоплює api.demo.kamocrm.com-style per-org демо-готелі сьогодні), об'єднання з рядками org domains, які є корінь (parent id IS NULL), активний, власність verified AND sssl confirmed as 2026-09-22 - той же три умови OrgApiHosts.verifiedRootDomain вже брами OAuth callback hosts on: b11capital.com, breakbeat.store, chinilaw.com, гармоніяhomeloans.net, kamo.club, JavaScript licenses API Веб-сайт Go1.13.8 Новий тест: DocsAliasHostTest, читання розгортання значення YAML як текст (назва конвенції як ******** і компіляція його з java.util.regex, чия Matcher#matches has так само цільнорядна семантика як ст.:regex match. Мутація-перегляд: перевернутися до 'https://api\.*' перетворює 3 з його 6 випадків червоний (арбітрський атакер домен, дивний домен, який merely містить "kamocrm" як підрядка, і трюк причепа-суфікса минулого відомого господаря. Не пропустіть FIX, повідомляється як відомий проміжок: якийсь новий користувацький домен (не *.kamocrm.com subdomain) жити все ще потрібно рядок, доданий тут і redeploy — той же обмеження старого per-domain aliasgroup1.N список був, і причина його замінили дикою карткою в першій місце (Docs-fork commit b5d260a24e, "Per-domain aliasgroup1.N список тільки довірили 4 орендарів; Нові тенти, як api.optionone.com отримав «несанкціонований WOPI хост»). Висока фіксація потребує або Docs's Remote config fetch вказується в живому режимі, DB-backed endpoint або автоматизації, яка регенерує цей маніфест і рулони Docs, коли org domains ряд молодят *********** — інфрачервона робота, не складена в цю зміну. Також зауважив Координатор: org domains має ряд для домену:'localhost', що належить KamoCRM Inc., активні+verified+ssssl confirmed, які виглядають як лівовер dev/seed дані, а не реальна оренда домен; лівий підсумок (за обсягом для цієї фіксації, і зміни даних org domains потрібна інструкція DDL шлях) але варто подивитися. Повний комплект: 731 тести зелений (від 725; +6 новий).