Как xtunnel может скомпрометировать все аккаунты в вашем приложении

[jidckii]

Надо было tuna использовать, там нет таких проблем))

[xtunnel]

Здравствуйте.

Отчёт верный, подтвердили в коде в тот же день.
Исправили.
Сразу про границу: затрагивалось приложение за конкретным туннелем — не платформа и не туннели других пользователей; подставлялась сессия последнего залогинившегося. В этих пределах всё ровно так, как Вы описали, и это критично.

Причина: обратный прокси в CLI держал общий CookieContainer (унаследованный дефолт UseCookies=true ). Прокси не должен владеть состоянием пользователя — куки обязаны идти транзитом. Поэтому httpOnly и не спасал: подстановка шла на стороне прокси, а не в браузере.

Исправлено в v2.8.1, закрыто регрессионными тестами на Ваш сценарий.

Обновитесь:

brew upgrade xtunnel

choco upgrade xtunnel

https://xtunnel.ru/#rec673966178

Спасибо за публичный разбор — он ускорил починку.