Отчёт верный, подтвердили в коде в тот же день. Исправили. Сразу про границу: затрагивалось приложение за конкретным туннелем — не платформа и не туннели других пользователей; подставлялась сессия последнего залогинившегося. В этих пределах всё ровно так, как Вы описали, и это критично.
Причина: обратный прокси в CLI держал общий CookieContainer (унаследованный дефолт UseCookies=true ). Прокси не должен владеть состоянием пользователя — куки обязаны идти транзитом. Поэтому httpOnly и не спасал: подстановка шла на стороне прокси, а не в браузере.
Исправлено в v2.8.1, закрыто регрессионными тестами на Ваш сценарий.
Здравствуйте.
Отчёт верный, подтвердили в коде в тот же день.
Исправили.
Сразу про границу: затрагивалось приложение за конкретным туннелем — не платформа и не туннели других пользователей; подставлялась сессия последнего залогинившегося. В этих пределах всё ровно так, как Вы описали, и это критично.
Причина: обратный прокси в CLI держал общий
CookieContainer(унаследованный дефолтUseCookies=true). Прокси не должен владеть состоянием пользователя — куки обязаны идти транзитом. ПоэтомуhttpOnlyи не спасал: подстановка шла на стороне прокси, а не в браузере.Исправлено в v2.8.1, закрыто регрессионными тестами на Ваш сценарий.
Обновитесь:
brew upgrade xtunnelchoco upgrade xtunnelhttps://xtunnel.ru/#rec673966178
Спасибо за публичный разбор — он ускорил починку.