- 已装运
- 2026年9月23日 02:18 UTC
- 作者
- Kamo
- 提交
- 71c6d27
k8s/Docs-troduction.yaml的别名组1是"https://api\.*". Docs 的别名匹配器 (RegexUTI: 获得) 值, std:: regex match)仅要求WHOLE候选权限匹配 和 '.*' 吸收了后面的“ api” —— 所以这个字面上相信任何 域名在互联网上塑造了 https://api. < anything>,只要其所有者将“api.”标签输入 前面 。 。 Docs 的 WSD 进程是贬低同名同名的 WOPI 主机 服务器侧面,所以信任的别名是 SSRF 曝光,而不是坐在顶端的冗余检查 在WOPI JWT上签字(此处删除的评论说JWT是"真正的大门"——它缩小了Which 根据Wopi主计长在该处较早时所做的规定, 关在哪个地方 Docs将视之为合法的WOPI存储端点. 取而代之的是实际活的租户主机:api.kamocrm.com及其任何子域名(kamocrm.com) 是卡莫自己的域名——卡莫以外的任何人都无法在域名中创建一个结束的名字,所以这半个域留下 更正为添加了新 *.kamocrm.com orgs,没有重新部署——这是覆盖的内容 api.demo.kamocrm.com-style per-org 演示主机今天,与 org 域名行结合 root (parent id IS NULL),自2026-09-22起,活动,所有制 已核实和sl 确认——相同 OrgApiHosts. 校验RootDomain 已经打开 OAuth 回调主机: b11capital.com, breakbeat.store.chinilaw.com, 和谐之家.net, kamo.club, makeitpopsigns.com, optionone.com, sign.pink, teech-life.com (中文(简体) ). 新测试: DocsAlias Host Test, 将部署的 YAML 值读作文本( 和常规相同 ) 并用java. 与std相同的全弦语义:regex match. 已检查突变:恢复到 'https://api\.*'在它的6个案件中有3个是红色的(任意攻击者域名,一个外观相似域名) 仅包含"kamocrm"作为子串,并有后缀的把戏经过已知的宿主. Not a FulL FIX,被报告为已知的漏洞:一个全新的自定义域(不是 *.kamocrm.com) subdomain) 继续直播仍需要在此添加一行并进行重新部署——同样的限制 旧 每个域名组1..N 列表有,它被第一个域名的通配符所取代的原因 位置(Docs-fork承诺b5d260a24e,“Per-domain别名组1..N只列出信任的4个租户; 新房客如api. optionone.com获得"未经授权的WOPI主机". 永久的修补也需要 Docs 的远程 config 获取指向一个活的, DB 备份的端点, 或一个自动化 重新生成此列表, 只要一个本地列新满足, 就会滚动 Docs ——以下工作,不折叠为这个变化. 还注意到 协调器: org 域名有一行域名='localhost' 由 KamoCRM Inc. 拥有, 活动 + 验证 + ssl 确认, 它看起来像是剩余 dev/种子数据 而不是真正的租户 域; 左起未动( 超出此修正的范围, 且正在改变的 org domains 数据需要手册) DDL路径),但值得一看. 全套:731个测试绿色(为725;+6新).