Bug 60355

Summary:	CAPTCHA блокирует программный доступ к REST/JSON-RPC/MCP API Bugzilla
Product:	Infrastructure	Reporter:	Vitaly Lipatov <lav>
Component:	bugzilla.altlinux.org	Assignee:	Bolshedvorsky Evgeny <jenya>
Status:	RESOLVED FIXED	QA Contact:	Andrey Cherepanov <cas>
Severity:	normal
Priority:	P5	CC:	ldv, rider
Version:	unspecified
Hardware:	x86_64
OS:	Linux

Description

Vitaly Lipatov 2026-09-01 22:08:52 MSK

При программном обращении к API bugzilla.altlinux.org сервер вместо ответа API возвращает HTML-страницу Yandex SmartCaptcha.

Например:

  curl -i 'https://bugzilla.altlinux.org/rest/bug/60317'

Фактический ответ:

  HTTP/2 200
  Content-Type: text/html; charset=utf-8
  Content-Length: 1944

В теле ответа находится HTML-страница:

  <title>Security check</title>
  <script src="https://smartcaptcha.cloud.yandex.ru/captcha.js"></script>
  <div class="smart-captcha">...</div>

Такая же CAPTCHA возвращается при обращении к следующим точкам входа:

  /rest/bug/60317
  /rest.cgi/bug/60317
  /jsonrpc.cgi
  /mcp.cgi


Просьба исключить из проверки CAPTCHA программные точки входа Bugzilla:

  /rest/*
  /rest.cgi/*
  /jsonrpc.cgi
  /xmlrpc.cgi
  /mcp.cgi

Comment 1

Anton Farygin 2026-09-01 22:13:46 MSK

к MCP капча ? у меня нету.

Comment 2

Anton Farygin 2026-09-01 22:16:44 MSK

Проверили: сейчас все перечисленные точки входа отвечают без капчи.

  /rest/bug/60317                       -> 200 application/json
  /rest.cgi/bug/60317                   -> 200 application/json
  /jsonrpc.cgi?method=Bugzilla.version  -> 200 application/json
  /xmlrpc.cgi                           -> 200
  /mcp.cgi (GET)                        -> 405 application/json (ожидаемо, нужен POST)

В коде Bugzilla SmartCaptcha есть только на createaccount.cgi; страница "Security check" отдаётся не багзиллой, а защитой перед ней, и срабатывает, видимо, по IP или по поведению клиента.

Чтобы найти правило, нужно от вас:
1. IP (или сеть), с которого делались запросы;
2. дата и время запросов с точностью до минуты (и таймзона);
3. воспроизводится ли сейчас: полный вывод `curl -i 'https://bugzilla.altlinux.org/rest/bug/60317'`;
4. заголовки запроса, если ходили не голым curl (User-Agent, Cookie, Accept), и было ли много запросов подряд перед тем, как появилась капча.

Comment 3

Anton Farygin 2026-09-01 22:16:55 MSK

Уточнение: IP и точное время лучше не писать сюда, а прислать лично на rider@altlinux.org. В баге достаточно ответить, воспроизводится ли сейчас и что показывает curl -i.

Comment 4

Anton Farygin 2026-09-01 22:41:44 MSK

Нашли виновного - защита от ботов сработала. непонятно почему на тебе.

Comment 5

Bolshedvorsky Evgeny 2026-09-02 08:57:10 MSK

отключили капчу.