- Name
- lúc 10:24 23 tháng 9, 2026 UTC
- Tác giả
- Kamo
- Cam kết
- 8950a17
Hai lỗ hổng liên hệ trong cùng một ranh giới lòng tin. /api/vop/sms/ sttlates/** được chuyển tiếp bởi / api/voip/** thẻ trống. Bộ bảo vệ bộ phận nội bộ của VOIPService đó là tiền tố (và /api/bulktext/send) với một bí mật X-I nội bộ-Auth, và SmsTremService tin tưởng rằng ID org mang trong cơ thể yêu cầu một lần Tấm séc đó được thông qua -- không còn tấm ngân phiếu nào trả trước. Điều đó làm cho Chỉ trên bề mặt internet có thể truy cập, với một bí mật chia sẻ duy nhất như Thứ duy nhất đứng giữa một người lạ mặt và tất cả những người thuê nhà đều đang sử dụng. Mẫu vật. Thêm một bản đồ khắc, cùng một cơ chế đã được sử dụng cho / api/voip/ calls/** và / api/vop/recording/** cụ thể hơn: hơn là các thẻ hoang dã, vì vậy nó chiến thắng bất kể lệnh tuyên bố, và trả lại 404 thay vì chuyển tiếp. kamo-i nội bộ không gọi gì dưới này đường dẫn ngày hôm nay (được xác nhận chống lại nguồn gốc/ trú), vì vậy không có gì được dùng hợp pháp cánh cổng này để đến được nó. Những người nhập cư không bao giờ lột đồ X-I nội bộ-Auth, vì vậy một khách hàng mà đoán hoặc tiết lộ bí mật chung có thể đi qua trước () trước Webok () hoặc trước Callback () thẳng qua dịch vụ nào Bộ nội vụ ở đầu bên kia. Nó được thêm vào mã nhận dạng -- nó khẳng định một đặc quyền ("Tôi đáng tin cậy trong cơ sở hạ tầng") Giống như cách các mục hiện có khẳng định một danh tính, và bỏ nó là an toàn bằng cách xây dựng: mọi bộ điều khiển trong dịch vụ này hợp pháp như là người gọi nội bộ (PulicChatraler, PublicApiCler, ScicWebok Kruxler, VoipRecording Uploadloadler, Trình giải mã công cộng gọi điện thoại cho tổ chức Đầu đề từ đầu và đặt bí mật được cấu hình riêng của dịch vụ này -- Không ai trong số họ gọi InboundHeaders.copt Into, vì vậy không ai bị ảnh hưởng. Cái này truy cập còn rộng hơn cả Traefik's river-ofidents giữa, mà chưa xóa nó tại cạnh quá; ghi chú rằng như là một tiếp theo cho Các dịch vụ kluter thay vì đoán trước sự thay đổi ở đây. Bảng màu đỏ bao gồm bản đồ và hành vi 404 của nó. Name Name Gửi một dự đoán X-I nội bộ-Ath về mỗi trường hợp nó đã ổ đĩa (billing, Quyền lợi, mạng lưới văn bản, OAuth callback, đây là bao phủ trên mọi con đường phía trước mà loại bài tập, không chỉ mới. Việc thu hồi hoặc thay đổi thất bại trong bài kiểm tra tương ứng ngay lập tức.