Satisfy-across confused-Stellvertreter IDOR + Konto Partei Selbstheilung

Verschickt

6. Juli 2026 um 01:41 UTC

Autor

Kamo

Commit

282105e

- HIGH: süffisieren-über gated auf dem Weg ParteiId, sondern über das DOCUMENT eigenen ausgefächert Partei nachgeschaltet; überprüfen Sie das Dokument gehört zu der autorisierten Partei (gleiche Org) vor Weiterleitung, sonst 403 - schließt Cross-Leerkredner State-Mutation + info-leak. - listParties selbst heilt Partei Links über die Konto-Darlehen, so dass die Registerkarte bevölkert.