Eclair 0.14.4 возвращает 403 на любой API-запрос, приходящий с заголовком Origin. Он не проверяет, что именно указано в origin, а только наличие самого заголовка. API Eclair использует базовую аутентификацию и принимает параметры в формате form-encoded, поэтому, как только браузер закэшировал пароль, обычная HTML-форма на любой странице, которую откроет оператор, может отправить POST-запрос. Для этого не требуется разрешение CORS. Страница не может прочитать ответ, но отправка на цепочке или закрытие канала уже произошло. Браузеры устанавливают заголовок Origin в этих запросах, а curl — нет, и проверка на наличие заголовка также перехватывает Origin: null, отправляемый изолированным iframe. Исправление было объединено 15 сентября, на день после тегирования версии 0.14.3, и выпущено 15 октября. phoenixd от той же команды также принимает параметры в формате form-encoded за базовой аутентификацией, и я не могу найти проверку Origin в версии 0.9.3. Есть ли причина, по которой phoenixd не нуждается в такой проверке, или она просто ещё не была рассмотрена?
Muhammad AzharПоделиться
Источник:Показать оригинал
Отказ от ответственности: Информация на этой странице может быть получена от третьих лиц и не обязательно отражает взгляды или мнения KuCoin. Данный контент предоставляется исключительно в общих информационных целях, без каких-либо заверений или гарантий, а также не может быть истолкован как финансовый или инвестиционный совет. KuCoin не несет ответственности за ошибки или упущения, а также за любые результаты, полученные в результате использования этой информации.
Инвестиции в цифровые активы могут быть рискованными. Пожалуйста, тщательно оценивайте риски, связанные с продуктом, и свою устойчивость к риску, исходя из собственных финансовых обстоятельств. Для получения более подробной информации, пожалуйста, ознакомьтесь с нашими Условиями использования и Уведомлением о риске.