Как xtunnel может создать дыру в приложении

Xtunnel xtunnel - российский туннель, который позиционирует себя аналогом ушедшего из России ngrok. Сегодня, работая над учебным проектом, я заметил за ним любопытное поведение. Например, мы ставим на логине токен как http only куку (ниже и дальше будет представлен код на Java Spring, но подобное поведение аналогично во всех языках): Нормальные туннели не трогают такие куки, однако xtunnel такую куку закеширует (!) и будет подставлять ее в релеватные запросы по требованию кого угодно (!!). Например, в следующий метод, кто бы его не вызвал, xtunnel подставит куки последнего залогинного пользователя: Таким образом, пользователи в обход логина могут представляться другими пользователями.

https://habr.com/ru/articles/1052046/

#java #xtunnel #spring #rest #security

Spring Boot Angular Example - new release now with Spring Boot 4.1.0, Angular 22. Based on JDK 25 LTS
https://codeberg.org/ZuInnoTe/spring-boot-angular-example/releases/tag/0.0.12

#java #springboot #spring #angular #typescript #jdk #jdk25