Как xtunnel может создать дыру в приложении

Вот важная новость с фронта ИИ: gth-other 5 минут назад Как xtunnel может создать дыру в приложении Средний 1 мин 7 Java * Сетевые технологии * Информационная безопасность * xtunnel - российский туннель, который позиционирует себя аналогом ушедшего из России ngrok. Сегодня, работая над учебным проектом, я заметил за ним любопытное поведение. Например, мы ставим на логине токен как http only куку (ниже и дальше будет представлен код на Java Spring, но подобное поведение аналогично во всех языках):private void setTokenCookie(String token, HttpServletRequest request, HttpServletResponse response) { if (token == null) { return; } ResponseCookie cookie = ResponseCookie.

TOKEN_COOKIE, token) . ofMillis(expirationMs)) . addHeader(HttpHeaders.

Технические детали

toString()); }Нормальные туннели не трогают такие куки, однако xtunnel такую куку закеширует (! ) и будет подставлять ее в релеватные запросы по требованию кого угодно (!! Например, в следующий метод, кто бы его не вызвал, xtunnel подставит куки последнего залогинного пользователя:@GetMapping public ResponseEntity get( @CookieValue(name = JwtAuthFilter.

TOKEN_COOKIE, required = false) String token) { if (token == null) { return ResponseEntity. build(); } // do something }Таким образом, пользователи в обход логина могут представляться другими пользователями.

Событие, по словам экспертов, усилит конкуренцию в сфере ИИ.