Как Xtunnel Может Создавать Уязвимости в Приложениях

Xtunnel — это российский сервис туннелирования, который позиционирует себя как альтернатива ngrok, который больше недоступен в регионе. Работая над проектом, я заметил некоторые настораживающие моменты в поведении Xtunnel. Например, когда мы устанавливаем токен в качестве куки HTTP-only во время процесса входа, Xtunnel ведет себя иначе, чем ожидалось. В отличие от стандартных туннелей, которые игнорируют такие куки, Xtunnel их кэширует и может подставлять в соответствующие запросы по своему усмотрению. Это означает, что любой вызванный метод может получить куки последнего вошедшего пользователя, независимо от того, кто делает запрос. В результате пользователи могут выдавать себя за других без необходимости входа в систему, что создает значительные риски безопасности. Это поведение вызывает вопросы о надежности Xtunnel для разработки безопасных приложений.