- Verschifft
- 23. September 2026 um 07:50 UTC
- Autor
- Kamo
- Ausschuss
- 90af780
auf einem Email-Alias erstellen/löschen, **************** auf den org-Sendedomains, und ************ auf einer persönlichen (selbstgehosteten) Mailbox, die alle nur eine Sitzung - Org Sm Sping bereits existierte, aber nichts darüber jemals gefragt, ob der Anrufer war erlaubt, E-Mail-Konten überhaupt zu verwalten. Jedes authentifizierte Mitglied könnte einen neuen Alias prägen Adresse für einen Kollegen, fügen Sie eine Domain hinzu, die das Mail-Relais dann senden würde (oder entfernen Sie die eine der org tatsächlich verifizierte) oder den persönlichen Posteingang eines Kollegen umwidmet/löschen. Alle diese erfordern nun MANAGE_EMAIL_ACCOUNTS - das gleiche rechte MailboxController-Äquivalent Personal-Mailbox Admin-Aktionen bereits durchsetzen (2026-08-14) - Spiegelung des Controllers enyUnless/hasRight-Helder in jedem der drei Controller. Nur lesbare Endpunkte (ListeDomains, getVerificationRecords, die Personal-Mailbox-Mitglieds-Ausführung und IMAP/Auth Routen) sind unverändert: ihre Eigentumsprüfung lebt bereits dort, wo er hingehört, abgesperrt oder Die Fahne, die die Fahne, und das weitere Gingen wurde nicht verlangt und wurde hier nicht hergestellt. AliasControllerRightsTest, DomainControllerRightsTest und ************ scheitern ohne Änderung - jede Admin-Aktion gelingt derzeit (200) für eine nackte Sitzung statt abgelehnt wird (403).