- 已发运
- 2026年9月24日 00:11 UTC
- 作者
- Kamo
- 承诺
- 0eb2550
/api/login,/api/login/mfa和/api/session/选择被植入*** 与 httply:false ("客户端 -") )——但登录时没有浏览器代码。 * 或 kamo- Internal 读取任何 更多; kamo- Internal 包含每个标签的会话 。 可读会话 cookie 是一个 XSS 离 a 失窃的会话,所以现在是Http Only。 它还使登录工作如意:登录页面 调用 /api/ logout 之前删除脚本中的每个 cookie, 因此 /api/ logout 找不到 *** to 取消会话服务器侧;脚本无法再删除了。 四行日志打印了会话代码(或登录OTK)的前32个十六进制字符——它们 现在打印长度.