Eclair 0.14.4 повертає 403 на будь-який API-виклик, який надходить із заголовком Origin. Він не перевіряє, що саме за походженням, а лише чи він присутній. API Eclair використовує базову аутентифікацію та приймає параметри, закодовані у форматі form-encoded, тому, як тільки браузер зберіг пароль, звичайна HTML-форма на будь-якій сторінці, яку відкриє оператор, може відправити POST-запит до нього. Це не вимагає дозволу CORS. Сторінка не може прочитати відповідь, але відправлення на ланцюжку або закриття каналу вже виконане. Браузери встановлюють Origin у цих запитах, а curl — ні, і перевірка на наявність також ловить Origin: null, який надсилає ізольований iframe. Виправлення було об’єднано 15 вересня, на день після випуску 0.14.3, і випущено 15 жовтня. phoenixd, від того ж команди, також приймає параметри у форматі form-encoded за допомогою базової аутентифікації, і я не можу знайти жодної перевірки Origin у версії 0.9.3. Чи є причина, чому phoenixd не потребує такої перевірки, чи її просто ще не розглядали?
Muhammad AzharПоділитися
Джерело:Показати оригінал
Відмова від відповідальності: Інформація на цій сторінці може бути отримана від третіх осіб і не обов'язково відображає погляди або думки KuCoin. Цей контент надається лише для загального інформування, без будь-яких запевнень або гарантій, а також не може розглядатися як фінансова або інвестиційна порада. KuCoin не несе відповідальності за будь-які помилки або упущення, а також за будь-які результати, отримані в результаті використання цієї інформації.
Інвестиції в цифрові активи можуть бути ризикованими. Будь ласка, ретельно оцініть ризики продукту та свою толерантність до ризику, виходячи з ваших власних фінансових обставин. Для отримання додаткової інформації, будь ласка, зверніться до наших Умов використання та Розкриття інформації про ризики.