- Verschifft
- 2. August 2026 um 18:38 UTC
- Autor
- Kamo
- Ausschuss
- 2f182ed
Der Handler nahm eine HttpServletRequest, aber nie verwendet, trägt den Kommentar "Kein auth erforderlich - interner Admin-Wartungsendpunkt". APIService Relais /api/docs/** ohne Gateway-Authentifizierung und DocsService erlaubt alle Anfrage, so war dies eine anonyme, Internet-erreichbare Auslöser für einen Sweep, der liest über einen unbeaufstandenen FundAll Dokumente, die jedem Mieter gehören. Rund achtzehn andere Handler in diesem Controller lösen bereits einen Anrufer über extraKToken(Anfrage); dieses war eine Auslassung, kein Design. Fügt die erste Test zu diesem Service. Der Sweep bleibt bewusst plattformübergreifend. Beschränkung auf das Bahnsteigpersonal braucht hier ein God-Mode-Signal und gehört mit der Deny-by-Dfault-Autorisierung Arbeit.