- Verschifft
- 15. August 2026 um 01:49 UTC
- Autor
- Kamo
- Ausschuss
- cb1efaf
NotesController hat an zehn Endpunkten kein Recht geprüft. VIEW_NOTES war Erzwungen an genau einem Ort . navRegistry.ts, versteckt die Notizen App in der Browser - so die 22 Mitglieder, deren Rollen es zurückhalten wurden die Seite verweigert und die von der API zur Verfügung gestellt. CREATE_NOTES, EDIT_NOTES und DELETE_NOTES haben gar nichts eingesperrt. Reads und die Tag-, Kategorie- und Versionshistory-Lookups nehmen jetzt VIEW_NOTES, erstellen nimmt CREATE_NOTES, aktualisieren und Version wieder EDIT_NOTES nehmen, löschen nimmt DELETE_NOTES. Restore ist eine Bearbeitung und keine Lektüre: die Geschichte lesen lässt die Notiz in Ruhe, indem eine Version zurück überschreibt der aktuelle Inhalt. SessionHelper.hasRight musste in der gleichen Änderung behoben werden, oder alle zehn hätten dekorativ gewesen. Es kehrte wahr für eine Sitzung mit einer leeren Rechte-Liste und wieder für einen ohne Rechte Feld, kommentiert "Rechte-System noch nicht durchgesetzt" und jedes Tor in diesem Dienst ist darauf aufgebaut, einschließlich der Wissensgrundrechte die an anderer Stelle als die voll durchgesetzte Gruppe dokumentiert sind. Ein Anrufer kommt an ohne Rechte wurde alles gewährt, MANAGE_KB_RESOURCES enthalten. Nichts markiert jemals eine Sitzung als Vermächtnis, so dass Befreiung könnte nie ablaufen; es hatte aufgehört, eine Migrationshilfe zu sein und zu einer Umgehungsstraße geworden. Safe to close, und überprüft statt angenommen: Rechte erreichen die Sitzung von member_rights_ applied, alle 69 Mitglieder haben dort Reihen, und kein Service ruft diese auf endpoints ohne Benutzersitzung. Keine Aussaat, ausnahmsweise, und das wird auch gemessen. Kein Mitglied hält VIEW_NOTES ohne alle drei Schreibrechte, so dass niemand verliert eine Fähigkeit. Es gibt drei Scheine, im Besitz von zwei Mitglieder, und beide halten alle vier Rechte - keine Note wird unerreichbar durch seine Besitzer. Die Mitglieder, die den API-Zugriff verlieren, hätten ihn nur unter Umgehung eines erreicht haben. nav Eintrag der Browser bereits verweigert sie, das ist die Umgehung, die diese schließt.