- Verschifft
- 17. September 2026 um 01:23 UTC
- Autor
- Kamo
- Ausschuss
- 096feaa
GET /api/security/org/{id' (und /org/domain/{host') gibt die Organisationseinheit selbst zurück und antwortet ohne eine Sitzung, und dieser Körper trug GodaddyApiKey und GodaddyApiSecret: der AES-GCM-Chiffretext der org's GoDaddy Anmeldeinformationen, deren eigene Javadoc sagte "Never to the frontend zurückgekehrt". Die Antwort einer Filiale trug seine PARENT, weil Eltern ist eine eifrige, unbewachte Beziehung, und der Elternteil ist genau die org, dass hält das GoDaddy Konto, in dem seine Subdomains angelegt sind. Bestätigt live am 2026-09-17 mit einem nicht authentifizierte Locke gegen die Plattform org. Beide Felder sind jetzt @JsonIgnore, die Konvention folgt hier bereits jede andere Chiffretext-Kolumne (OrgCommissionStripeConfig, MortgageProviderConfig, BillingConnection, die ACH-Säulen daneben). Nichts liest sie von JSON: SecurityService lädt sie aus der Datenbank (SubdomainBranchesController, DnsProvisioningService), schreibt sie nur von einer eigenen Anfragekarte aus und gibt der UI godaddyConfigured. @JsonIgnore stoppt auch einen PUT /org/{id'-Körper daran, ihn durch das Entleer zu setzen. ************ behauptet es über jede *_ENC-Kolumne, die durch Reflexion gefunden wird, also die Die nächste verschlüsselte Spalte, die der Organisation hinzugefügt wird, wird ebenfalls abgedeckt. Durch Mutation verifiziert: ohne die Anmerkung, Drei seiner vier Tests versagen. Schiffe nur, wenn ein abhängiger Dienst wieder aufgebaut wird; Security Service, der den Endpunkt bedient, wird als nächstes umgebaut.